NIS2 e a responsabilidade do conselho de administração: o que todo conselheiro precisa saber

Com a NIS2, a segurança cibernética não é mais algo que o conselho de administração possa delegar e simplesmente esquecer. A diretiva atribui a responsabilidade diretamente ao nível da administração e, em circunstâncias específicas, responsabiliza pessoalmente cada um dos conselheiros. Subestimar isso não é apenas um risco organizacional; é um risco jurídico pessoal.

O que a NIS2 diz sobre o papel dos diretores

O artigo 20.º da Diretiva NIS2 é explícito: os órgãos de gestão das organizações abrangidas pela diretiva devem aprovar medidas de cibersegurança e supervisionar ativamente a sua implementação. Trata-se de uma mudança fundamental em relação à diretiva NIS1 original, nos termos da qual a cibersegurança, na prática, recaía em grande parte sobre o departamento de TI.

A NIS2 exige que os membros do conselho de administração possuam conhecimentos suficientes sobre os riscos de cibersegurança para desempenharem de forma eficaz a sua função de supervisão. A diretiva chega mesmo a exigir explicitamente que a administração receba formação nesta área. Não basta designar um CISO ou uma empresa de segurança externa; a responsabilidade final recai sobre o conselho de administração.

Responsabilidade civil: o que isso significa na prática

Na Holanda, a NIS2 foi transposta para a Lei de Segurança Cibernética (Cyberbeveiligingswet, Cbw). Essa lei estabelece um regime de responsabilização que vai além das multas aplicáveis às organizações. Quando for possível comprovar negligência por parte de um diretor, a autoridade de supervisão poderá proibir temporariamente essa pessoa de exercer funções de gestão. A medida visa o indivíduo, e não a organização.

Em termos concretos, um administrador que tenha falhado persistentemente em garantir medidas adequadas de segurança cibernética, ou que tenha ignorado ou ocultado um incidente grave, pode ser temporariamente afastado do cargo. Esse poder foi expressamente concebido como um instrumento para obrigar os administradores a levarem a sério suas responsabilidades.

A disposição relativa à responsabilidade pessoal prevista na Lei de Segurança Cibernética aplica-se apenas quando for possível comprovar negligência por parte de um conselheiro individual. Não se trata de uma consequência automática de todos os incidentes, mas está reservada para situações em que o conselho de administração tenha falhado estruturalmente em sua função de supervisão.

Quais organizações estão sujeitas a essas regras

A NIS2 distingue entre entidades essenciais e importantes. As entidades essenciais são grandes organizações em setores críticos, como energia, transportes, saúde, água potável e infraestrutura digital. As entidades importantes são organizações de médio porte nesses mesmos setores, complementadas por indústrias como a química, a produção de alimentos e os prestadores de serviços digitais.

As obrigações do conselho de administração previstas no artigo 20.º aplicam-se a ambas as categorias. A diferença reside na intensidade da supervisão: as entidades essenciais podem ser sujeitas a auditorias proativas pela autoridade competente, enquanto a supervisão das entidades importantes é, em princípio, reativa, sendo desencadeada por denúncias ou incidentes.

O que se espera, na verdade, dos diretores

A lei não estabelece requisitos técnicos específicos para os membros do conselho, mas estabelece requisitos organizacionais e processuais. Na prática, esses requisitos se resumem a quatro responsabilidades:

• Aprovação da política: o conselho deve adotar formalmente e revisar periodicamente a política de segurança cibernética, e não apenas tomá-la em conhecimento.
• Alocação de orçamento: medidas de segurança adequadas exigem recursos. O conselho é responsável por disponibilizar esses recursos.
• Exercício da supervisão: devem existir canais de comunicação que permitam ao conselho avaliar a situação de segurança da organização, mesmo sem conhecimentos técnicos.
• Acompanhamento de incidentes: quando ocorre um incidente grave, o conselho de administração deve participar ativamente da resposta e cumprir as obrigações de notificação às autoridades de supervisão.

A obrigação de notificação e o papel do conselho de administração nesse contexto

A NIS2 impõe requisitos rigorosos de notificação para incidentes significativos. Um aviso prévio deve ser enviado à autoridade competente no prazo de 24 horas após a detecção. Um relatório detalhado deve ser apresentado no prazo de 72 horas, e um relatório final no prazo de um mês. Esse prazo pressupõe que o conselho de administração seja informado imediatamente e possa agir com rapidez.

Um diretor que não conhece os procedimentos internos de escalonamento, ou que só toma conhecimento de um incidente grave dias depois, está criando dificuldades desnecessárias. Tanto do ponto de vista substantivo quanto jurídico. Afinal, o cumprimento da obrigação de notificação é uma das áreas que as autoridades de supervisão podem verificar com relativa facilidade.

Como se preparar para ser diretor

A preparação começa com o entendimento da situação. Um diretor não precisa ser um especialista em segurança, mas deve compreender quais riscos a organização enfrenta, quais medidas estão em vigor e como a organização reage quando algo dá errado. Isso exige relatórios periódicos sobre segurança apresentados ao conselho, linhas claras de escalonamento e um plano de resposta a incidentes com o qual o conselho esteja familiarizado.

A NIS2 também exige explicitamente que os diretores participem de treinamentos em segurança cibernética. Não com o objetivo de torná-los tecnicamente proficientes, mas para capacitá-los a avaliar riscos e analisar políticas. As organizações que levam isso a sério também documentam esses treinamentos, para que possam comprovar, durante uma auditoria, que o conselho cumpriu suas obrigações.

A conscientização sobre segurança é um elo subestimado nessa cadeia, e não apenas para os funcionários. Um diretor que reconhece uma tentativa de phishing compreende o que está em jogo quando um funcionário não o faz. A Guardey ajuda as organizações a incorporar essa conscientização em todos os níveis, desde a linha de produção até a diretoria.