A Europa está a regulamentar a tecnologia a um ritmo que muitas empresas têm dificuldade em acompanhar. A NIS2, o RGPD, a DORA, a Lei da IA, a Lei dos Dados, a DSA, a DMA ou a Lei da Resiliência Cibernética já fazem parte de um quadro em que as obrigações se cruzam, os prazos se sobrepõem e nem sempre é evidente qual a norma que afeta cada organização.
O problema já não é simplesmente saber que existe uma nova regulamentação. Trata-se de saber interpretá-la, priorizá-la e traduzi-la em decisões concretas em matéria de tecnologia, processos e negócios.
No segundo episódio do Podcast de Aire, Zigor Gaubeca conversa com Sor Arteaga Juárez, especialista em regulamentação tecnológica, para tentar desvendar este cenário e responder a uma questão cada vez mais relevante: estarão as empresas realmente preparadas para cumprir a regulamentação?
O desafio não é uma regra, mas sim compreender como tudo se interliga
Durante anos, as empresas podiam gerir cada âmbito regulatório de forma independente: proteção de dados, cibersegurança ou regulamentação específica de cada setor.
Esse modelo está a ficar ultrapassado.
Hoje, uma mesma empresa pode ter de considerar simultaneamente obrigações relacionadas com a proteção de dados, resiliência, inteligência artificial, fornecedores tecnológicos ou continuidade de negócios. Além disso, o âmbito de aplicação de uma norma pode depender do setor, da dimensão da organização, do serviço que presta ou mesmo do tipo de clientes com quem trabalha.
É aí que surge um dos grandes problemas abordados neste episódio: a conformidade não consiste em aprender uma lista de siglas. Consiste em identificar quais as obrigações que afetam realmente a empresa e como estas se relacionam entre si.
NIS2: quando a regulamentação entra em vigor
A NIS2 é um dos exemplos mais claros desta mudança. O debate aborda questões como a continuidade do negócio, a resposta a incidentes, as cópias de segurança, o controlo de fornecedores ou os acordos de nível de serviço. Ou seja, decisões que fazem parte do funcionamento tecnológico quotidiano.
Um dos aspetos que está a ganhar cada vez mais importância é a cadeia de abastecimento. Uma organização pode ter uma infraestrutura bem protegida e, mesmo assim, depender de fornecedores cuja falha comprometa a sua atividade. Por isso, parte da conformidade passa por identificar quais são essas dependências, que garantias oferecem e que medidas lhes são exigidas.
A regulamentação deixa assim de ser um assunto exclusivo do departamento jurídico ou de conformidade e começa a afetar diretamente as TI, as operações e a direção.
As PME também não podem fazer vista grossa
Um dos erros mais comuns é pensar que este novo quadro regulamentar afeta apenas as grandes empresas ou setores críticos.
No entanto, as PME podem deparar-se com exigências regulamentares de forma indireta. Por exemplo, quando atuam como fornecedores tecnológicos de organizações sujeitas a requisitos mais rigorosos ou quando pretendem prestar serviços à Administração Pública. Este episódio aborda precisamente a forma como requisitos como a NIS2 ou o ENS acabam por se repercutir nos fornecedores e nas cadeias de abastecimento.
Por isso, a regulamentação começa a ser também uma questão de competitividade. Não estar preparado pode significar mais do que apenas expor-se a uma sanção: pode limitar a capacidade de trabalhar com determinados clientes ou de participar em projetos mais exigentes.
IA, dados e cloud: a regulamentação continua a alargar o âmbito de aplicação
Este episódio também põe em evidência que a pressão regulatória não se limita à cibersegurança.
A inteligência artificial introduz novas obrigações através da Lei da IA (AI Act), enquanto o quadro regulamentar europeu em torno dos dados, da cloud e dos serviços digitais continua a expandir-se.
Para as áreas de tecnologia, isto altera os critérios com que muitas decisões são avaliadas. A adoção de uma ferramenta de IA, a contratação de um fornecedor de serviços na cloud ou a externalização de um serviço já não devem ser analisadas apenas do ponto de vista da funcionalidade, do desempenho ou do custo.
Também é importante saber quais os dados utilizados, quais as responsabilidades assumidas por cada parte, que capacidade de controlo a empresa mantém e que requisitos regulamentares podem surgir ao longo da vida útil do serviço.
A arquitetura tecnológica e a conformidade estão, cada vez mais, a fazer parte da mesma discussão.
O risco da falsa conformidade
Uma das ideias mais interessantes do episódio é a da «conformidade falsa»: empresas que acreditam estar protegidas por disporem de políticas, documentos ou determinados processos, mas que não verificaram se essas medidas são realmente aplicadas.
Ter um plano de continuidade não serve de muito se nunca tiver sido testado. Identificar fornecedores também não é suficiente se não existirem contratos ou níveis de serviço adequados. E dispor de uma política de segurança não garante que as pessoas saibam como agir quando surge um problema.
A conformidade real exige passar do documento para a evidência.
E isso obriga a rever, testar, formar e manter as medidas ao longo do tempo. A regulamentação deixa de ser uma «fotografia» tirada para passar numa auditoria e transforma-se num processo contínuo.
Perante uma maior regulamentação, é necessário mais discernimento
O quadro europeu continuará a evoluir. Abordar cada nova norma separadamente pode acabar por tornar a conformidade ainda mais complexa.
O ponto de partida deve ser outro: conhecer a atividade da empresa, os dados que esta trata, os serviços críticos, os fornecedores de que depende e os riscos que podem afetar a continuidade do negócio.
A partir daí, é possível estabelecer prioridades e traçar um roteiro proporcional à realidade de cada organização.
Porque o verdadeiro desafio não é memorizar a NIS2, a DORA, a Lei da IA ou a Lei dos Dados. É compreender o que muda para a sua empresa e ser capaz de demonstrar que as medidas necessárias não existem apenas no papel.
Num cenário regulatório cada vez mais exigente, a conformidade começa por algo simples: saber como cumprir.
Tem curiosidade em explorar este tema com IA? Experimente o ChatGPT ou o Perplexity.
Ar
