Um CISO com reporte direto precisa de direitos de decisão, não apenas de um título

O sinal e os factos que mudam a decisão

A Deliberação n.º 924/2026 criou no Instituto de Informática, I. P., uma unidade de CISO na dependência hierárquica direta do Conselho Diretivo. O mandato reúne estratégia, SGSI, risco, acessos, incidentes, comunicação com reguladores, conformidade, security by design e cultura.

A unidade criada reporta diretamente ao Conselho Diretivo e produz efeitos desde 1 de junho de 2026, embora a deliberação tenha sido publicada em agosto. O mandato inclui proteção de ativos, estratégia, SGSI, risco, dados e acessos, incidentes, reguladores, conformidade, projetos e cultura.

O regime NIS2 português mantém aprovação e supervisão das medidas nos órgãos de gestão e exige um responsável de cibersegurança com reporte direto. Reporte direto sem dados, equipa, orçamento ou autoridade cria independência nominal. Concentrar operação, supervisão e aceitação de risco na mesma pessoa também reduz contestação; o órgão de gestão não pode delegar para o CISO a responsabilidade que a NIS2 lhe atribui.

Decisão, limites e condição de bloqueio

Use o ato como teste organizacional, não como molde universal. Para cada responsabilidade do CISO fixe RACI, informação obrigatória, autoridade para bloquear ou aceitar temporariamente, limiar de escalamento, substituição, conflito, orçamento, frequência de reporte e decisão que permanece no conselho.

Reporte direto sem dados, equipa, orçamento ou autoridade cria independência nominal. Concentrar operação, supervisão e aceitação de risco na mesma pessoa também reduz contestação; o órgão de gestão não pode delegar para o CISO a responsabilidade que a NIS2 lhe atribui.

Execução e prova de conclusão

A execução deve começar por enumerar decisões de segurança e atribuir quem propõe, desafia, aprova, executa, verifica e aceita risco residual. Depois, criar um pacote mensal curto com serviços críticos, incidentes, exceções, eficácia, fornecedores, recuperação, recursos e decisões vencidas. O fecho exige ensaiar conflito entre prazo de negócio e controlo, indisponibilidade do ciso e incidente material fora de horas, guardando a decisão.

O modelo funciona quando decisões materiais chegam ao nível certo dentro do prazo, separação de funções é demonstrável, o substituto atua, o conselho compreende o risco residual e uma auditoria liga cada decisão a dados, dono e seguimento.

• enumerar decisões de segurança e atribuir quem propõe, desafia, aprova, executa, verifica e aceita risco residual.
• criar um pacote mensal curto com serviços críticos, incidentes, exceções, eficácia, fornecedores, recuperação, recursos e decisões vencidas.
• ensaiar conflito entre prazo de negócio e controlo, indisponibilidade do CISO e incidente material fora de horas, guardando a decisão.
• O modelo funciona quando decisões materiais chegam ao nível certo dentro do prazo, separação de funções é demonstrável, o substituto atua, o conselho compreende o risco residual e uma auditoria liga cada decisão a dados, dono e seguimento.