Nesta edição de Innovation Stories, destacamos a Strongstep, empresa especializada em apoiar organizações na implementação de sistemas de gestão, cibersegurança, conformidade e resiliência organizacional. Num contexto marcado pelo reforço das exigências regulatórias, pela entrada em vigor da Diretiva NIS2 e pelo crescente investimento europeu no setor da Defesa, a preparação das empresas deixou de ser apenas uma questão técnica para se tornar uma prioridade estratégica.
À conversa com Pedro Castro Henriques, CEO da Strongstep, explorámos os principais desafios que as organizações enfrentam na adaptação aos novos requisitos de segurança, o impacto da NIS2 na gestão empresarial, as oportunidades que emergem para as empresas tecnológicas no ecossistema da Defesa e o papel das certificações na construção de organizações mais competitivas, resilientes e preparadas para os mercados do futuro.
Entrevista a: Pedro Castro Henriques, CEO| Strongstep
Pedro, podes apresentar brevemente a Strongstep, as principais áreas em que atua e os setores que apoia?
R: A Strongstep ajuda empresas a estarem preparadas, para os clientes que exigem mais, para os mercados que se tornaram mais regulados, para os riscos que já existiam mas que agora têm nome e prazo.
Na prática, trabalhamos com organizações que precisam de implementar e certificar normas como ISO 27001, NIS2, TISAX, CMMI, DORA ou ISO 22301. Mas o que nos move não é o certificado em si, é o que ele representa: uma empresa mais robusta, mais confiável, mais capaz de crescer sem perder o controlo.
Como caracterizam o atual panorama da cibersegurança nas empresas portuguesas?
R: Há um padrão que vemos repetidamente: as empresas portuguesas não ignoram a cibersegurança por descuido, ignoram-na porque acham que o problema ainda não chegou a elas.
O problema é que o risco não avisa antes de aparecer. E quando aparece (um incidente, uma exigência de cliente, uma notificação regulatória), o custo de reagir é sempre muito maior do que teria sido o custo de se preparar.
O que mudou nos últimos dois anos é que a pressão já não vem só de dentro. Vem de clientes enterprise que exigem certificação como condição de contrato, de regulação europeia com prazos e responsabilidades concretas, e de mercados internacionais que simplesmente fecham a porta a quem não consegue provar que é seguro.
O que muda, na prática, com a NIS2, e porque deve este tema estar na agenda dos gestores?
R: A NIS2 muda uma coisa fundamental: a responsabilidade passa a ser pessoal. Antes, um incidente de segurança era um problema do IT. Com a NIS2, passa a ser um problema do board, com possibilidade de responsabilização direta dos membros da administração. Isso muda completamente o nível de atenção que o tema merece.
Na prática, as organizações abrangidas passam a ter obrigações concretas: medidas de gestão do risco, reporte de incidentes em prazos curtos, continuidade de negócio e segurança da cadeia de fornecimento. Não são recomendações, são requisitos com sanções associadas.
A razão pela qual deve estar na agenda dos gestores é simples: quem não se preparar não perde apenas a conformidade. Perde contratos, perde reputação e, potencialmente, enfrenta consequências legais.
Quais são os principais desafios que as empresas enfrentam quando iniciam um processo de adequação à NIS2?
R: O primeiro é perceber se são abrangidas. A NIS2 expandiu significativamente o número de setores e entidades cobertas, muitas empresas e organizações descobriram que estão dentro do âmbito e não sabiam. Outro ponto a ressaltar é o facto de muitas empresas serem abrangidas pelo NIS2, uma vez que são fornecedores críticos de uma empresa que é abrangida pela NIS2.
O segundo, e este é o que mais atrasa projetos, é o alinhamento interno. A NIS2 não é um problema do IT, é um problema organizacional. Estamos neste momento a acompanhar a adequação à NIS2 de uma instituição com a dimensão e a complexidade da Universidade de Aveiro, uma unidade académica com mais de 30 mil pessoas que utilizam os seus serviços, e o maior desafio não é técnico. É conseguir que departamentos com culturas, prioridades completamente diferentes passassem a falar de risco da mesma forma, com o mesmo nível de exigência. Quando a organização é grande, a dificuldade não é saber o que fazer, é fazer com que todos avancem ao mesmo passo e com o objetivo comum.
O terceiro é a necessidade de um patrocinador executivo claro e comprometido. Quando o projeto fica apenas a cargo de uma equipa técnica, sem alguém no topo a dar-lhe peso, raramente avança com a velocidade necessária. A NIS2 precisa de um champion no board, não como formalidade, mas como condição de sucesso.
Para além da conformidade legal, que benefícios pode uma organização retirar de uma abordagem estruturada à cibersegurança e à gestão do risco?
R: O benefício mais imediato é comercial. Empresas com ISO 27001 ou adequação NIS2 demonstrada ganham contratos que as outras perdem, porque o cliente enterprise não quer assumir o risco de um fornecedor não preparado.
Depois há o benefício operacional. Uma empresa que passou por um processo sério de gestão do risco conhece melhor os seus próprios pontos de falha. Sabe onde está exposta, o que depende de quem, o que acontece se um sistema crítico cair. Esse conhecimento tem valor independentemente de qualquer regulação.
E há um benefício que raramente é nomeado mas que os gestores sentem: a tranquilidade de tomar decisões com informação. A incerteza é cara. Saber que a casa está em ordem permite crescer com mais confiança e evitar graves prejuízos.
Que oportunidades identifica a Strongstep para as empresas tecnológicas no contexto do crescente investimento em Defesa?
R: O investimento europeu em Defesa está a criar uma janela de oportunidade real para empresas tecnológicas portuguesas, mas com uma condição: quem não estiver preparado não entra.
A cadeia de valor da Defesa está a precisar de fornecedores em áreas como cibersegurança, comunicações seguras, software embebido, sistemas de gestão de informação classificada e resiliência operacional. São exatamente as competências que muitas empresas tecnológicas nacionais já têm, mas que precisam de demonstrar de forma credível que têm maturidade necessária, nomeadamente através da certificação.
A oportunidade não está em fazer algo completamente novo. Está em formalizar e certificar o que já se sabe fazer, de forma que um cliente de Defesa consiga confiar nesse fornecedor.
Para uma empresa que pretende entrar na cadeia de valor da Defesa, quais são os requisitos e garantias que deve assegurar desde o início?
R: O ponto de partida é a maturidade em segurança da informação, tipicamente ISO 27001 como base e/ ou ISO 22301 que assegura a continuidade do negócio. Sem isso, a conversa com qualquer entidade de Defesa começa em desvantagem.
Depois, dependendo do tipo de projeto e do nível de classificação envolvido, entram requisitos específicos como o CMMI para maturidade de processos de software, normas de segurança industrial, e protocolos de proteção de informação classificada.
Mas o que é muitas vezes subestimado é o tempo. Entrar na Defesa não acontece num trimestre. Os processos de qualificação devem ser feitos de forma gradual e exigentes, a confiança constrói-se com histórico, e as certificações têm que estar implementadas, não em curso, quando se bate à porta.
Quem começar agora tem vantagem sobre quem espera.
Que papel desempenham a cibersegurança, a proteção da informação e a conformidade regulatória no acesso ao setor da Defesa
R: São condição de entrada, não diferencial competitivo. Neste setor, a questão não é “tens cibersegurança?”, é “consegues provar que tens, de forma auditável, com certificação reconhecida?”
A proteção da informação é particularmente crítica. Trabalhar com entidades de Defesa implica muitas vezes acesso a informação sensível ou classificada. Isso exige controlos rigorosos, processos documentados e pessoas formadas, não apenas intenção.
A conformidade regulatória funciona como o passaporte. Sem ele, não se passa a fronteira, independentemente de quanto se sabe fazer
Existem certificações ou boas práticas que consideram fundamentais para aumentar a credibilidade e competitividade neste mercado?
R: Como já referido a ISO 27001 é o ponto de entrada obrigatório para qualquer empresa que queira ser levada a sério em contextos de segurança da informação. Vendo o cenário atual da entrada com a diretiva NIS2, a nossa abordagem passa pela recomendação de fazer a ISO 27001 e a NIS2 em conjunto, pelo facto de terem alguns pontos complementares.
Para empresas de software e desenvolvimento, o CMMI acrescenta uma camada de maturidade de processos que é muito valorizada em projetos complexos e de longa duração.
Para o setor automóvel e supply chains industriais com ligação à Defesa, o TISAX tornou-se um requisito crescente.
E para organizações que queiram demonstrar resiliência (capacidade de funcionar mesmo quando algo corre mal) a ISO 22301 é o referencial de continuidade de negócio que dá essa garantia de forma credível.
A combinação certa depende do perfil de cada empresa e dos mercados que quer aceder. Não há uma resposta única, mas há uma ordem lógica para construir esse percurso.
Como irá evoluir a relação entre cibersegurança, resiliência organizacional e competitividade empresarial nos próximos anos?
R: Vão deixar de ser temas separados.
Hoje ainda há empresas que tratam a cibersegurança como um departamento, a resiliência como um plano de continuidade que está algures numa pasta, e a competitividade como algo que se gere no comercial e no produto. Nos próximos anos, essa separação vai tornar-se insustentável.
Os grandes clientes, (enterprise, públicos, internacionais ), vão exigir cada vez mais que os seus fornecedores demonstrem, de forma documentada e auditável, que são organizações preparadas. Não apenas capazes tecnicamente, mas maduras na forma como gerem risco, informação e continuidade do negócio.
Competitividade vai ser, em grande parte, sinónimo de confiança demonstrável. E a cibersegurança e a resiliência são os instrumentos que constroem essa confiança.
Que mensagem gostarias de deixar às empresas que procuram reforçar a sua maturidade em cibersegurança ou explorar oportunidades em setores altamente regulados como a Defesa
R: Não esperem pelo momento perfeito, porque ele não existe.
O momento de começar a preparar uma empresa é sempre antes de a pressão aparecer. Quando o cliente exige a certificação, quando a regulação entra em vigor, quando o concurso público tem requisitos que não conseguem cumprir, nessa altura, o tempo que não foi usado trabalha contra si.
O que nós vemos nos projetos que correm melhor é uma coisa simples: uma liderança que decidiu que a maturidade é uma prioridade estratégica, não uma resposta a uma crise. Essas empresas não correm atrás dos requisitos, chegam primeiro.
Se estão a considerar este caminho, comecem por perceber onde estão. Um diagnóstico honesto vale mais do que qualquer certificação apressada.
Nota final
Consulte mais informação sobre a Strongstep aqui: https://strongstep.pt/
Conclusão
Ao longo desta conversa, fica claro que a cibersegurança, a gestão do risco e a conformidade regulatória são hoje fatores determinantes para a competitividade das organizações. Mais do que responder a obrigações legais, investir em maturidade organizacional significa reforçar a confiança de clientes e parceiros, aceder a novos mercados e preparar as empresas para um contexto cada vez mais exigente e regulado.
A entrada em vigor da NIS2 e o crescimento das oportunidades no setor da Defesa representam desafios, mas também uma oportunidade para as empresas portuguesas afirmarem a sua capacidade tecnológica e a sua credibilidade internacional. Como destaca Pedro Castro Henriques, as organizações que começam hoje a preparar este caminho estarão melhor posicionadas para responder às exigências do futuro e transformar a conformidade numa verdadeira vantagem competitiva.
