RJCS · Artigo 25.º
Responsabilidade da gestão: decidir, supervisionar e provar
A governação de cibersegurança deixa de ser apenas uma matéria técnica. A gestão deve compreender o risco, aprovar medidas, acompanhar a execução e manter evidência das decisões.
Para quem
Quando este artigo deve entrar no plano.
Órgãos de gestão, direção ou administração das entidades abrangidas, de acordo com a qualificação e o regime concretamente aplicável.
Breve tutorial
Quatro passos para começar com método.
Adapte a profundidade, os responsáveis e as evidências ao enquadramento concreto da entidade.
- 01
Definir responsabilidades
Documentar papéis, poderes, escalamento e relação entre gestão, RCS, equipas internas e prestadores.
- 02
Aprovar a abordagem
Levar à gestão o sistema de risco, as medidas prioritárias, os recursos e os critérios de aceitação.
- 03
Supervisionar a execução
Estabelecer indicadores, reuniões, exceções, ações corretivas e reporte de incidentes relevantes.
- 04
Capacitar e registar
Planear formação regular da gestão e preservar atas, decisões, revisões e presenças.
Prova
Evidências a preparar.
- Modelo de governação e matriz RACI
- Atas e deliberações
- Painel de risco e indicadores
- Registos de formação da gestão
Atenção
Erros que fragilizam a implementação.
- Delegar a responsabilidade como se desaparecesse
- Aprovar políticas sem acompanhar execução
- Reportar apenas atividade técnica, sem risco e decisão
Controlo rápido
Checklist inicial.
- Papéis formalizados
- Risco revisto pela gestão
- Medidas aprovadas
- Indicadores acompanhados
- Formação registada
Perguntas frequentes
Duas respostas essenciais.
Nomear um RCS transfere toda a responsabilidade?
Não. O RCS apoia a coordenação, mas as obrigações próprias dos órgãos de gestão devem ser lidas nos termos do artigo 25.º.
Que evidência demonstra supervisão?
Atas, decisões, indicadores, revisões de risco, acompanhamento de ações e registos de formação ajudam a demonstrar uma supervisão efetiva.
Fonte primária
Decreto-Lei n.º 125/2025, de 4 de dezembro
Tutorial informativo. Confirme sempre o texto oficial, a regulamentação aplicável e o enquadramento concreto da organização.