Por Carla Zibreira (*)

A cibersegurança tornou-se uma preocupação fundamental para governos, empresas e conselhos de administração, impulsionada pela crescente frequência, complexidade, sofisticação e impacto das ameaças cibernéticas. Em resposta, estão a ser implementadas inúmeras medidas a todos os níveis, especialmente através de iniciativas regulatórias. Na Europa, as preocupações com a evolução do panorama das ameaças cibernéticas intensificaram-se após os recentes conflitos geopolíticos. Táticas híbridas - como campanhas de desinformação, pressão económica e interferência política - têm sido usadas para visar infraestruturas críticas, cadeias de abastecimento e líderes executivos de elevada visibilidade dos Estados-membros. Consequentemente, os reguladores estão a impor requisitos de conformidade mais rigorosos e a dar maior ênfase aos papéis, responsabilidades e obrigações dos conselhos de administração e executivos na gestão dos riscos de cibersegurança.

Os executivos são os alvos principais dos cibercriminosos porque detêm e influenciam informação estratégica - como planos de negócio, dados financeiros e decisões críticas - que pode ser explorada de forma a comprometer as organizações. O seu perfil público e a crescente visibilidade mediática ampliam a sua pegada digital, expondo dados pessoais e profissionais que podem ser utilizados em estratégias de ataques (por exemplo, hábitos diários tais como rotinas de exercício físico monitorizadas por dispositivos inteligentes, padrões de viagem através de publicações geo-etiquetadas, relações profissionais através de ligações no LinkedIn ou capturas de ecrã do Zoom, opiniões políticas, interesses e dados familiares).

Esta combinação de acesso privilegiado e elevada exposição torna-os particularmente vulneráveis, podendo ataques bem-sucedidos resultar em disrupções operacionais, perdas financeiras e danos reputacionais significativos. De acordo com o relatório “Digital Executive Protection Research Report 2025” do Instituto Ponemon: entre 2023 e 2025, a percentagem de ataques direcionados a executivos e reportados aumentou de 43% para 51%; dos afetados em 2025, 22% tinham sofrido entre 7 a 10 ataques cibernéticos, representando um aumento de 32% em relação a 2023; a preocupação com potenciais ataques futuros mantém-se elevada nos 62% e as perspetivas de melhoria destes comportamentos prevê-se frágil uma vez que mais de 60% dos executivos desconhece as ameaças aos seus ativos digitais.

A definição de medidas eficazes de proteção exige que os executivos compreendam o panorama de cibersegurança em constante evolução que enfrentam. Parte da sua informação pessoal e profissional é facilmente acessível em relatórios públicos, plataformas institucionais e redes sociais. As deslocações frequentes e o uso de redes públicas aumentam a superfície de ataque, assim como o trabalho remoto, que envolve aceder a sistemas corporativos a partir de dispositivos e locais variados.

Estes fatores, quando combinados, ampliam a probabilidade de exposição a ameaças como roubo ou perda de equipamentos, engenharia social, ransomware, tentativas de personificação e deepfakes sofisticados gerados por IA para legitimar comunicações fraudulentas... Durante o ano de 2025 o instituto Ponemon, no seu relatório “Digital Executive Protection Research Report 2025”, observou que os três principais impactos de um incidente com um executivo recaem 48% sobre o roubo de dados financeiros, 45% roubo de propriedade intelectual e ou de informação corporativa sensível e 41% acesso indevido à rede de casa de executivos.

Cientes dos riscos impostos diretamente pelos executivos às organizações, os reguladores impuseram responsabilidades criminais aos executivos ao abrigo de quadros legais, como a NIS2 e o RGPD. Os executivos estão cada vez mais conscientes dos riscos implicados, mas alguns sentem-se inseguros quanto à sua autoridade real e existência de recursos para mitigar eficazmente os riscos de cibersegurança que podem resultar em sanções criminais. Esta medida, de imposição de responsabilidades criminais, pode causar desconforto, especialmente porque estes mesmos quadros executivos podem não ter o controlo total sobre os recursos necessários ou mudanças efetivas na cultura organizacional.

Convencer os Conselhos de Administração da necessidade de recursos e de capacitação para enfrentar os riscos de cibersegurança - e mitigar potenciais responsabilidades criminais - requer uma abordagem estratégica baseada numa comunicação clara, insights baseados em dados mensuráveis e o alinhamento das iniciativas de cibersegurança com as prioridades do negócio. Algumas estratégias-chave que as organizações podem promover para a proteção dos seus executivos e, consequentemente, dos seus negócios, são as seguintes:

  • Formar e sensibilizar: Explicar os riscos de cibersegurança como riscos de negócio e como podem ser entendidos como uma vantagem empresarial, permitindo a tomada de decisões informadas.
  • Reduzir pegada digital: Minimizar a quantidade de informação pessoal exposta online.
  • Monitorizar riscos: Proactivamente identificar e mitigar os abusos e riscos não relacionados com as ações de cada executivo
  • Clarificar obrigações e consequências: Explicar as obrigações financeiras, regulamentares e legais, salientando que a sua negligência pode resultar em sanções criminais, multas e danos reputacionais.
  • Preparar a resposta incidentes: Formar os executivos para que rapidamente enderecem ameaças identificadas antes que estas escalem para um incidente na organização.
  • Disponibilizar indicadores e métricas: Fornecer aos executivos resultados mensuráveis para apoiar o processo de decisão, reduzir a incerteza e construir confiança.

Os executivos têm vindo a assumir uma responsabilidade crescente em garantir a conformidade organizacional em múltiplas áreas - desde crimes financeiros e legislação laboral até regulamentos ambientais, práticas anticorrupção e prevenção de suborno. Neste contexto, as obrigações e responsabilidades criminais associadas à cibersegurança e à proteção de dados deixaram de ser questões isoladas e passaram a constituir elementos essenciais da estratégia global de gestão do risco.

À medida que a governação corporativa evolui, estas matérias serão reconhecidas como componentes estratégicas que exigem integração harmoniosa no quadro mais amplo de conformidade. Além disso, deverão contar com o apoio ativo e o patrocínio do próprio conselho de administração, refletindo a sua importância crescente para a resiliência e sustentabilidade da organização.

(*) CEO e fundadora da Lynx Sentry