o questionário pergunta quem dentro de nossa empresa é responsável pela cibersegurança

Governança e responsabilidade, não apenas um nome

A pergunta vai além de preencher um contacto. O artigo 21.º, n.º 2 da Diretiva NIS2 menciona "política de análise de riscos e segurança dos sistemas de informação" como uma das dez medidas obrigatórias, e a governança — quem decide, quem aprova, quem é responsável — é parte disso. Na ISO/IEC 27001, isso aparece no Anexo A, nas medidas de controlo sobre organização da segurança da informação: espera-se que os papéis e as responsabilidades sejam atribuídos e documentados, não apenas acordados verbalmente. Dar um nome sem um papel documentado é, portanto, geralmente um preenchimento incompleto.

O que o cliente quer ver exatamente varia consoante o formato: às vezes é um título de função (CISO, gestor de TI, diretor), às vezes uma tabela tipo RACI, às vezes apenas a pergunta se há SEQUER uma pessoa designada. Se a empresa não tem um responsável formalmente designado mas a tarefa está de facto atribuída a alguém, isso é frequentemente suficiente para um "sim" — desde que esteja documentado em algum lugar, por exemplo numa descrição de função ou em atas. Sem qualquer documentação, "não" é a resposta honesta; o dossier de cadeia não pode resolver isso inventando uma afirmação. Esta pergunta está frequentemente ligada a política de análise de riscos e segurança de sistemas de informação, porque um cliente que pergunta sobre governança geralmente também quer saber quem estabeleceu essa política.

Onde isto está na diretiva e na norma

A referência à governança e às responsabilidades encontra-se no artigo 21.º, n.º 2, alínea a) da Diretiva NIS2 (política de análise de riscos e segurança da informação) e no Anexo A da ISO/IEC 27001, nas medidas de controlo organizacionais. Na Holanda, a mesma obrigação aparece novamente através da Lei de Cibersegurança, que entra em vigor em 15 de agosto de 2026 como transposição da NIS2. As autoridades de supervisão e os clientes que fazem esta pergunta testam implicitamente se há um processo por trás — por isso na prática esta pergunta está frequentemente ligada a a pergunta se a eficácia das medidas é testada periodicamente, porque um responsável sem um momento de teste vale pouco no papel.