Uma designação não cria, por si só, uma capacidade
A entrada em funcionamento da MyCiber tornou mais visíveis duas funções previstas no Regime Jurídico da Cibersegurança: o Responsável de Cibersegurança (RCS) e o Ponto de Contacto Permanente (PCP). Para muitas organizações, o primeiro impulso será identificar nomes, preencher contactos e concluir a comunicação.
Esse passo é necessário, mas não é suficiente. Um nome num formulário não garante acesso à informação, autoridade para coordenar, disponibilidade para responder ou capacidade para manter a comunicação durante uma situação exigente.
A questão mais importante não é apenas quem será indicado. É saber se essa pessoa ou equipa consegue exercer efetivamente a função quando a organização precisar dela.
Duas funções, um propósito comum
O RCS e o PCP têm naturezas diferentes, mas servem um propósito comum: garantir que a organização consegue governar a cibersegurança, manter fluxos de informação fiáveis e responder de forma coordenada.
O RCS trabalha sobretudo na ligação entre risco, medidas, evidências e decisão. O PCP assegura o canal operacional e técnico com a autoridade de cibersegurança competente. Um ajuda a organização a saber o que deve ser decidido e acompanhado; o outro ajuda a garantir que uma comunicação importante não fica sem resposta.
Separar os papéis ajuda a compreender as responsabilidades. Ligá-los ajuda a organização a funcionar.
O Responsável de Cibersegurança liga o risco à gestão
O artigo 31.º do Decreto-Lei n.º 125/2025 determina que as entidades essenciais e importantes designem um Responsável de Cibersegurança para a gestão da cibersegurança e da segurança da informação. A pessoa designada deve integrar os órgãos de gestão, direção ou administração, ou responder-lhes organicamente e de forma direta.
Entre as funções legalmente previstas estão propor medidas de gestão do risco, prestar informação aos órgãos que supervisionam essas medidas, apoiar o cumprimento das obrigações de supervisão e execução, promover uma cultura de cibersegurança, assegurar a gestão do risco e acompanhar o relatório anual.
Isto coloca o RCS entre a realidade operacional e a decisão. Para exercer a função, precisa de conhecer serviços, ativos, dependências, incidentes, fornecedores, riscos, medidas em curso e limitações reais. Precisa também de conseguir levar essa informação à gestão de forma clara e acionável.
O Ponto de Contacto Permanente protege o fluxo de comunicação
O artigo 32.º estabelece que as entidades essenciais e importantes assegurem pelo menos um Ponto de Contacto Permanente. A função pode ser assegurada por uma pessoa ou por uma equipa e suporta os fluxos de informação de nível operacional e técnico com a autoridade competente.
A disponibilidade contínua de 24 horas por dia e sete dias por semana está limitada aos períodos de ativação iniciados e terminados mediante comunicação da autoridade de cibersegurança competente. Isto não deve ser confundido com a obrigação de manter permanentemente uma pessoa ao telefone sem contexto; significa que a entidade deve conseguir ativar e sustentar um canal funcional quando esse período for comunicado.
O Regulamento n.º 756/2026 prevê a identificação da equipa ou entidade terceira que assegura a função e a comunicação de meios principais e alternativos. A redundância faz parte da função: um único email, telefone ou colaborador pode falhar precisamente quando mais importa.
Diferentes não significa isolados
A lei prevê que o RCS coordene as ações do PCP quando esta função não seja assegurada por si. Esta ligação é essencial: receber uma comunicação sem conhecer o contexto atrasa a resposta; conhecer o risco sem dispor de um canal operacional deixa a decisão sem execução.
A organização deve definir como o PCP confirma a receção, quem avalia a informação, quando envolve o RCS, como chega aos decisores e que equipas técnicas ou operacionais são mobilizadas. Deve também saber quem substitui cada interveniente e como recupera o contexto quando existe mudança de turno ou indisponibilidade.
O objetivo não é criar uma cadeia hierárquica pesada. É reduzir o tempo entre receber, compreender, decidir e atuar.
Porque trabalhamos primeiro o funcionamento e só depois o formulário
Na Cyberprotech, começamos pelo contexto da organização: quem decide, quem opera, que serviços não podem parar, que equipas existem, que apoio está contratado e que canais permanecem disponíveis fora do funcionamento normal.
Fazemo-lo desta forma porque uma designação deve corresponder à realidade. Se o procedimento depender de acessos que a pessoa não possui, de uma caixa de correio que ninguém acompanha ou de conhecimento concentrado num único colaborador, a conformidade documental não se transforma em capacidade operacional.
Depois organizamos responsabilidades, escalamento, substituições, meios principais e alternativos, informação necessária e evidências. Só então a comunicação na plataforma representa algo que consegue realmente funcionar.
Decidir, comunicar e responder sem improvisar
Um processo simples pode ser mais eficaz do que um manual extenso. O importante é que seja conhecido, acessível e testado: uma comunicação chega ao PCP, é registada e confirmada, o contexto é avaliado, o RCS é envolvido quando aplicável, a gestão recebe informação adequada e as equipas responsáveis atuam.
Cada transição deve preservar informação suficiente para que a pessoa seguinte compreenda o que aconteceu, o que já foi feito, o que falta decidir e que prazo está em curso. Esta disciplina reduz ruído, repetições e decisões contraditórias.
A preparação torna-se visível quando o processo continua a funcionar sem depender da memória, da presença ou do equipamento de uma única pessoa.
O que deve estar preparado antes da comunicação
Nem todas as organizações precisam da mesma estrutura. Uma equipa pequena pode adotar um procedimento curto; uma organização distribuída pode precisar de turnos, equipas e escalamentos diferenciados. Em ambos os casos, alguns elementos devem estar claros.
- Ato de designação do Responsável de Cibersegurança, quando aplicável, e definição do reporte direto.
- Funções, autoridade, acessos à informação e meios necessários para o RCS.
- Identificação da pessoa, equipa ou entidade que assegura o PCP.
- Email e telefone principais e alternativos, acompanhados e testados.
- Regras de ativação, confirmação, escalamento e registo das comunicações.
- Substitutos e procedimento para indisponibilidade, férias, mudança de turno ou saída de uma pessoa.
- Lista atualizada das equipas internas, prestadores e decisores que podem ter de ser envolvidos.
- Exercício periódico que confirme se os contactos, acessos e tempos de resposta continuam adequados.
Modelos externos exigem clareza, não presunções
O enquadramento permite que o PCP seja assegurado por uma equipa ou entidade terceira. No caso do RCS, a expressão legal relativa ao reporte orgânico e direto exige uma análise prudente da estrutura adotada, da entidade abrangida e das orientações da autoridade competente.
Por esse motivo, não deve presumir-se que qualquer contrato de vCISO ou CISOaaS equivale automaticamente à designação legal do RCS. Um serviço externo pode apoiar governação, risco, coordenação e evidências, mas a compatibilidade do modelo concreto com a designação deve ser confirmada antes de ser apresentada como conclusão.
A prudência não impede a preparação. Pelo contrário: permite definir responsabilidades, autonomia, informação, confidencialidade, continuidade, substituição e conflitos de interesses enquanto se valida o enquadramento aplicável.
A melhor evidência é uma função que consegue funcionar
Atos de designação, organogramas, procedimentos, listas de contacto, registos de testes e históricos de atualização são evidências importantes. Mas o valor desses documentos está no comportamento que suportam.
Uma organização preparada consegue explicar quem acompanha o risco, quem informa a gestão, quem recebe uma comunicação urgente, quem substitui uma pessoa indisponível e como a informação chega à equipa certa. Consegue ainda demonstrar que os contactos foram verificados e que o percurso foi exercitado.
É por isso que tratamos estas funções como parte da governação e da continuidade, e não como uma tarefa isolada da MyCiber. A comunicação conclui um passo administrativo; a capacidade precisa de permanecer ativa, atualizada e preparada para o momento em que for chamada a responder.