No primeiro trimestre deste ano, os sistemas da Kaspersky detetaram mais de 2,3 milhões de ciberameaças transmitidas pela internet a computadores em Portugal.
Quase um em cada cinco utilizadores foi afetado. Somando as ameaças propagadas por dispositivos amovíveis, o país ultrapassou os quatro milhões de incidentes em apenas três meses.
Os números são reais e merecem ser levados a sério. O que me preocupa é a resposta que costumam desencadear.
Perante uma estatística desta ordem, o reflexo de muitas organizações é adquirir mais capacidade de deteção. Mais uma consola, mais um sensor, mais uma camada sobre as que já existem. É uma reação compreensível e, em parte, necessária. É também insuficiente, porque confunde o alarme com a decisão.
O aumento do volume e da sofisticação das ameaças, de que o malware sem ficheiro foi o exemplo mais claro deste trimestre, por não deixar rasto em disco e escapar às deteções tradicionais, não é, na sua raiz, um problema de ferramentas. É um problema de governação.
Durante demasiado tempo, a segurança digital foi tratada como matéria técnica, delegada nas equipas de informática e revista apenas quando havia orçamento disponível. Essa fase terminou. E não terminou por convicção do mercado, mas por imposição legal.
Com a transposição da diretiva europeia NIS2 pelo Decreto-Lei 125/2025 e com o Regulamento 756/2026, que o operacionaliza, a cibersegurança passou a ser responsabilidade direta dos órgãos de gestão. O regime abrange dezassete setores de atividade e a Administração Pública, distingue entidades essenciais de importantes e fixa obrigações concretas: registo na plataforma MyCiber, designação formal de um responsável de cibersegurança e notificação de incidentes significativos no prazo de vinte e quatro horas. O incumprimento pode custar até dez milhões de euros. E a responsabilidade recai, cada vez mais, sobre quem lidera, não sobre a estrutura técnica que executa.
Newsletter
À procura de boas análises? Recebe artigos de opinião todas as semanas no teu e-mail.
A pergunta mudou, portanto. Já não é «temos as ferramentas certas?». É «quem, na direção, responde por isto quando algo correr mal?».
Existe, porém, uma decisão que pesa mais do que qualquer aquisição de software e é justamente a que menos se discute: onde residem os dados e sob que jurisdição.
Uma organização pode dispor da melhor deteção do mercado e permanecer exposta se as suas comunicações e a sua informação mais sensível dependem de plataformas cujo modelo de negócio assenta na exploração desses mesmos dados.
O risco, nesse caso, não é o ataque que a ferramenta interceta. É a dependência que se aceitou sem nunca a ter nomeado.
Para a defesa, para o Estado e para quem opera infraestruturas críticas, esta não é uma questão abstrata. Confiar comunicações sensíveis a infraestruturas fora do controlo europeu é uma exposição tão concreta quanto uma porta deixada aberta. E é uma exposição que, na maioria dos casos, se instala por omissão, porque a hipótese de decidir de outra forma nunca chegou a ser ponderada.
A alternativa existe e é europeia. Portugal dispõe hoje de competência instalada em cifra, em comunicações seguras e em soberania tecnológica que não precisa de ser importada. O que falta, com frequência, não é tecnologia. É a decisão de a tratar como prioridade estratégica, e não como despesa a conter.
Os dois milhões de ameaças deste trimestre são um alerta. Mas o alerta pertinente não é «adquiram mais». É «decidam melhor». Quem responde. Onde residem os dados. A quem se confia aquilo que não pode sair do perímetro.
A resiliência de uma organização não se mede pela quantidade de ferramentas que acumula. Mede-se pela clareza das decisões que toma antes do incidente. E essa clareza é, hoje, uma responsabilidade de quem lidera.