InícioEmpresasHá novas regras de cibersegurança em vigor: as PME estão preparadas?

Há novas regras de cibersegurança em vigor: as PME estão preparadas?

Por: Daniela Felício com Ana Marisa Vieira

As empresas que desenvolvem produtos com elementos digitais passaram, desde 11 de setembro, a ter novas obrigações ao abrigo do Cyber Resilience Act (CRA). Os fabricantes têm agora de comunicar vulnerabilidades ativamente exploradas e incidentes graves que afetem a segurança dos produtos, com um primeiro alerta no prazo de 24 horas e uma notificação completa até 72 horas depois de terem conhecimento do problema. Para Jorge Lopes, Board Member da Rumos, em declarações à PME Magazine, a mudança traduz uma alteração na forma como as empresas devem encarar a tecnologia.

A entrada em aplicação destas regras acontece num momento em que a União Europeia está a reforçar o quadro regulatório para a tecnologia, com diplomas que abrangem áreas como inteligência artificial, cibersegurança e resiliência operacional. As principais obrigações do CRA, contudo, só serão aplicáveis a partir de dezembro de 2027.

“A tecnologia e os riscos que lhe estão associados deixaram de ser apenas uma responsabilidade das equipas de TI e passaram a ser uma questão de gestão e de responsabilidade da própria organização”, afirma Jorge Lopes.

O responsável considera que esta transformação exige também uma mudança na cultura das empresas, envolvendo “governance, processos, tecnologia, gestão de risco e competências”. A formação assume, neste contexto, um papel central, sobretudo em áreas como IA, cibersegurança, gestão de risco tecnológico e segurança no desenvolvimento de software, defende.

AI Act: adoção da IA avança mais depressa do que a preparação

O AI Act entrou numa nova fase de aplicação a 2 de agosto de 2026, com novas regras, incluindo requisitos de transparência para determinados sistemas de IA. Entre outras medidas, determinados sistemas têm de informar os utilizadores quando estes estão a interagir com IA e os conteúdos gerados ou manipulados por IA passam a estar sujeitos a requisitos de identificação.

“Existe ainda algum desfasamento entre a velocidade a que a IA está a ser adotada e a capacidade das organizações para criarem conhecimento e mecanismos internos para a sua utilização responsável”, afirma o Board Member da Rumos.

O responsável distingue a utilização da IA enquanto ferramenta de produtividade, por exemplo, na criação de conteúdos, análise de informação ou automatização de processos, da integração da tecnologia nos próprios produtos, serviços ou processos de negócio. À medida que a utilização se torna mais estrutural, aumentam também as necessidades de governance, gestão de risco, segurança, dados e conformidade.

“Não basta, por isso, disponibilizar ferramentas de IA aos colaboradores. É necessário desenvolver uma cultura de utilização responsável da IA”, acrescenta.

Jorge Lopes, Board Member da Rumos
Jorge Lopes, Board Member da Rumos (Foto Divulgação)

NIS2: investimento em tecnologia não chega

A NIS2, transposta para a legislação portuguesa em dezembro de 2025, através do novo Regime Jurídico da Cibersegurança, tinha já reforçado as obrigações de cibersegurança de organizações de setores essenciais ou importantes, incluindo áreas como energia, transportes, saúde, banca, infraestruturas digitais e determinados serviços tecnológicos.

Nas PME, os níveis de preparação são, segundo Jorge Lopes, diferentes. “Muitas [empresas] já fizeram investimentos importantes em tecnologia e segurança, mas ainda têm de consolidar processos, responsabilidades e mecanismos de gestão de risco”, explica.

A dificuldade é particularmente relevante nas organizações com equipas tecnológicas reduzidas, onde os profissionais acumulam diferentes funções. Para o responsável da Rumos, a NIS2 implica também uma mudança de cultura: a cibersegurança não pode ficar limitada aos departamentos de TI e deve passar a ser uma responsabilidade partilhada pela organização, defende.

DORA estende o impacto às PME tecnológicas

No setor financeiro, o DORA é aplicável desde 17 de janeiro de 2025 e estabelece requisitos de resiliência operacional digital. O regulamento abrange, entre outras dimensões, a gestão do risco associado às tecnologias de informação e comunicação, a resposta a incidentes, a continuidade das operações e a relação com prestadores de serviços tecnológicos.

“Mesmo quando uma PME não é diretamente abrangida pelo DORA, as exigências dos seus clientes podem refletir-se nos contratos, processos, documentação, segurança, gestão de incidentes, continuidade ou competências exigidas às suas equipas”, explica Jorge Lopes.

Para as empresas tecnológicas que trabalham com organizações financeiras, cumprir determinados requisitos de segurança e resiliência pode, assim, tornar-se uma condição para fazer parte da cadeia de fornecimento.

CRA obriga empresas a antecipar a segurança

É no Cyber Resilience Act que a pressão regulatória ganha agora um novo momento. O regulamento abrange uma grande variedade de hardware e software com elementos digitais e introduz responsabilidades para fabricantes, importadores e distribuidores. A segurança deve ser considerada ao longo de todo o ciclo de vida do produto, desde a conceção e desenvolvimento até à gestão de vulnerabilidades e atualizações.

Com as primeiras obrigações de reporte já em aplicação, os fabricantes têm agora de dispor de processos capazes de identificar e comunicar vulnerabilidades e incidentes dentro dos prazos definidos pelo regulamento. A plataforma europeia criada pela ENISA para esse efeito entrou também em funcionamento a 11 de setembro.

As principais obrigações do CRA só chegam em dezembro de 2027, mas Jorge Lopes considera que algumas PME ainda estão numa fase inicial de preparação.

“Nas PME, sobretudo nas que desenvolvem software ou produtos com componentes digitais, esta mudança exige uma revisão de processos e responsabilidades que ainda não está, em muitos casos, suficientemente consolidada”, afirma.

A lógica passa por incorporar a segurança desde o desenvolvimento, numa abordagem de security by design, em vez de acrescentá-la apenas numa fase final.

O desafio passa pelas competências

Apesar das diferenças entre os quatro diplomas, há uma questão transversal: as empresas precisam de pessoas capazes de transformar as exigências regulamentares em práticas concretas.

Nem todos os trabalhadores terão de ser especialistas em IAou cibersegurança, mas Jorge Lopes considera necessário que cada profissional tenha conhecimentos adequados à sua função. Ao mesmo tempo, serão necessários perfis especializados em áreas como AI governance, gestão de risco, segurança, dados e desenvolvimento de soluções de IA.

Para as PME, segundo o responsável, o primeiro passo deverá passar por perceber quais das regras se aplicam efetivamente à sua atividade, identificar riscos e avaliar lacunas em processos, tecnologia, responsabilidades e competências.

“A formação não deve surgir no final, como mais uma obrigação de compliance. Deve acompanhar a transformação desde o início”, defende.

A ideia, conclui, é que o cumprimento das regras seja apenas o ponto de partida para empresas “mais seguras, resilientes e preparadas para a mudança”.

PODE GOSTAR DE LER
Continue to the category
PME MAGAZINE SUGERE
Continue to the category
PUB

ÚLTIMAS NOTÍCIAS

NEWSLETTER

spot_imgspot_img
PUB

SUSTENTABILIDADE

Continue to the category