Governance e responsabilidade pessoal
O Art. 25.º e a responsabilidade dos órgãos de gestão
Cenário de abertura
Imagine que é administrador executivo de uma empresa de transportes. O diretor de IT apresenta-lhe uma proposta de investimento de 200 000 euros em MFA e sistemas de backup offsite. Diz que é prioritário para cumprir a NIS2. Aprova? Adia? Esta decisão pode ter consequências pessoais para si.
O que exige o Art. 25.º do DL 125/2025
O Art. 25.º do DL 125/2025 é uma das disposições mais inovadoras da legislação portuguesa de cibersegurança. Estabelece que os membros dos órgãos de gestão das entidades abrangidas têm obrigações que só podem ser delegadas num dos titulares do órgão de gestão (art. 25.º, n.º 3). Concretamente, os administradores devem aprovar as medidas de gestão do risco de cibersegurança, supervisionar a sua aplicação, assegurar o cumprimento das medidas de supervisão e execução e assegurar a realização de formação regular (art. 25.º, n.º 1), incluindo a dos próprios titulares (art. 27.º, n.º 1, al. f)). A aprovação formal em ata é essencial para demonstrar cumprimento.
Responsabilidade pessoal dos titulares
Os titulares dos órgãos de gestão podem responder por ação ou omissão, com dolo ou culpa grave, nos termos da legislação aplicável, pelas infrações do regime (art. 25.º, n.º 2). O regime prevê coimas para pessoas singulares (arts. 61.º e 62.º) e a interdição temporária de funções (art. 67.º, alínea f)). A responsabilidade civil por danos segue o regime geral.
Formação obrigatória para administradores
O diploma é explícito: a formação em cibersegurança não é apenas para os técnicos. Os próprios membros dos órgãos de gestão devem receber formação adequada ao seu nível. Não se exige que os administradores se tornem especialistas técnicos, mas que compreendam os riscos, as obrigações legais e as implicações das decisões de investimento. A realização de formação deve ser documentada e pode ser requerida pelo CNCS em sede de supervisão.
Paralelo com a responsabilidade RGPD
O mecanismo é familiar para quem conhece o RGPD. Tal como o RGPD faz recair sobre o responsável pelo tratamento a obrigação de demonstrar conformidade (accountability), o DL 125/2025 faz recair sobre os órgãos de gestão a obrigação de demonstrar que aprovaram, financiaram e supervisionaram as medidas de segurança. A diferença é que, aqui, a responsabilidade pode ser pessoal e não apenas institucional.
Da falha de supervisão a responsabilidade pessoal
Cenário ilustrativo
Primeira coima pessoal a administrador (Alemanha, 2026, ilustrativo)Este é um cenário hipotético e ilustrativo, construído para fins pedagógicos: até setembro de 2026, a autoridade alemã de cibersegurança (BSI) não tinha publicado nenhuma coima pessoal a um administrador ao abrigo da NIS2 (ver módulo 2). Hipótese: um administrador de uma empresa de infraestrutura digital é confrontado com um incidente de ransomware que revela ter sido explicitamente alertado, 18 meses antes, para a ausência de backups adequados, e que optara por adiar o investimento por razões orçamentais. Neste cenário, a responsabilidade individual do administrador seria fundamentada em negligência documentada, ilustrando o padrão europeu de responsabilidade pessoal dos órgãos de gestão.
Quiz do módulo 3
Responda a 5 perguntas sobre o conteúdo deste módulo. É necessário obter 70% ou mais para avançar.