Em resumo: a segurança informática faz parte das tarefas da direção. Discute-se uma responsabilidade do gerente por vulnerabilidades de segurança informática sobretudo quando riscos conhecidos não foram tratados de forma adequada, as responsabilidades não foram definidas ou as decisões não foram tomadas de forma comprovável. Em situações como o PHP2Shell, ajuda uma decisão clara e documentada com base nos factos disponíveis. Esta página é informação geral e não constitui aconselhamento jurídico.
Não é aconselhamento jurídico: as questões de responsabilidade dependem muito do caso concreto, da forma jurídica e das regras contratuais. Peça a uma advogada ou a um advogado de direito societário que avalie as questões concretas.
Responsabilidade do gerente e segurança informática: o enquadramento geral
Para os gerentes de uma GmbH (sociedade de responsabilidade limitada alemã), o § 43 GmbHG (lei alemã das sociedades de responsabilidade limitada) exige a diligência de um gestor prudente. Para os administradores de uma sociedade anónima, o § 93 AktG (lei alemã das sociedades anónimas) contém uma regra comparável; o § 91, n.º 2, AktG exige além disso medidas adequadas para detetar precocemente evoluções que ponham em risco a continuidade da sociedade. Destes deveres gerais deduz-se, na discussão especializada, que também os riscos informáticos têm de ser geridos de forma adequada.
Para as decisões empresariais existe uma margem de apreciação. Quem decide com base em informação adequada e para o bem da sociedade age, segundo a chamada Business Judgment Rule, em regra de forma devida, mesmo que a decisão se venha a revelar desfavorável. Daqui resulta uma lição prática: muitas vezes decisivo é menos o resultado do que saber se a decisão foi tomada de forma informada e comprovável.
O que a NIS2 acrescenta
Para as empresas abrangidas pela NIS2, a responsabilidade da direção está expressamente regulada. A gerência tem de aprovar as medidas de gestão de riscos, supervisionar a sua aplicação e receber formação em cibersegurança. Na Alemanha, a transposição é feita pela NIS2UmsuCG (lei alemã de transposição da NIS2). Se a sua empresa está abrangida e que obrigações se aplicam em concreto, consulte as indicações do BSI (Gabinete Federal Alemão para a Segurança da Informação). Uma visão geral encontra-se em NIS2 e segurança dos servidores web.
Acrescem deveres decorrentes da proteção de dados. Nos termos do RGPD, uma empresa tem de tomar medidas técnicas e organizativas adequadas e de avaliar, documentar e, se for o caso, notificar as violações da proteção de dados pessoais, nos termos do Art. 33.
O que uma situação como o PHP2Shell exige da direção
O PHP2Shell engloba duas vulnerabilidades críticas no próprio PHP (CVE-2026-109618 e CVE-2026-109619, ambas com CVSS v4.0 9.2). O BSI declarou o nível de alerta 3 (laranja) e recomenda uma atualização imediata e, se isso não for possível, retirar temporariamente os servidores web da rede. Para a direção surge assim uma ponderação típica: faturação e disponibilidade contra um risco elevado e publicamente conhecido.
Ninguém exige que os gerentes apliquem eles próprios patches aos servidores. Pode esperar-se, porém, que tomem conhecimento da situação, esclareçam as responsabilidades, peçam relatórios e tomem uma decisão. Perguntas que a direção deve colocar:
- Que sistemas nossos usam PHP e quem é responsável por eles, internamente ou junto do prestador de serviços?
- As atualizações foram instaladas e os processos reiniciados, e existe um comprovativo disso?
- Se não: porquê, que medidas provisórias estão em curso, e retiramos o sistema da rede?
- Existem indícios de uma intrusão e quem avalia possíveis deveres de notificação?
Documentar as decisões
Registe por escrito, de forma breve, o quadro da situação, as opções, a decisão e a fundamentação, com data e hora. Esse registo não tem de ser longo. Mostra mais tarde que a direção estava informada e ponderou. Isto vale expressamente também para a decisão de continuar a operar um sistema durante um período limitado apesar do risco.
| Conteúdo | Exemplo |
|---|---|
| Quadro da situação | BSI nível de alerta 3, patches disponíveis desde 21/10/2026 |
| Sistemas afetados | Loja, portal de clientes, instalação interna de wiki |
| Opções | aplicar patch de imediato, medidas provisórias, retirar da rede |
| Decisão | Loja com patch, wiki offline até à atualização |
| Fundamentação e responsáveis | Comprovativo pelo prestador de serviços, controlo pela direção de TI |
Um patch não remove software malicioso já introduzido. Também a decisão sobre se se procuram vestígios deve constar do registo.
Organizar de forma duradoura em vez de improvisar na emergência
A melhor prevenção é uma organização clara: um responsável designado pela segurança da informação, um procedimento para atualizações de segurança, relatórios regulares à direção, um plano de emergência de TI testado e uma verificação independente a intervalos razoáveis. Como enquadramento metodológico serve a proteção de base das TI (IT-Grundschutz) do BSI.
Faz parte da organização também estruturar os relatórios de modo a que a direção os compreenda. Muitas vezes basta um relatório curto e regular, com poucas indicações: quantos sistemas estão no nível atual, onde há exceções e porquê, que incidentes ou quase-incidentes houve, que decisões estão pendentes. Quem recebe esses relatórios, faz perguntas e regista os resultados pode mais tarde demonstrar que a supervisão se realizou de facto. Isto vale independentemente de a tecnologia estar internamente ou num prestador de serviços.
Como ajuda concretamente a PHP SOS?
- Elaboramos um quadro da situação compreensível dos seus servidores web para a direção, com opções claras.
- Aplicamos a opção escolhida e fornecemos um comprovativo técnico por escrito.
- Através de uma auditoria de segurança ou de um teste de intrusão, criamos uma base independente para as suas decisões.
- Com um contrato de manutenção de segurança, regulamos de forma duradoura as atualizações e os relatórios.
Perguntas frequentes
Um gerente responde pessoalmente por um ataque informático?
Um ataque, por si só, não fundamenta responsabilidade pessoal. Discute-se uma responsabilidade sobretudo quando foram violados deveres de diligência, por exemplo se riscos conhecidos foram ignorados ou as responsabilidades não foram definidas. Se é assim num caso concreto, só o aconselhamento jurídico o pode avaliar.
Posso delegar por completo a segurança informática na TI ou num prestador de serviços?
As tarefas podem ser delegadas, mas a responsabilidade pela escolha, pelos meios e pela supervisão permanece na direção. Peça relatórios regulares e registe que decisões foram tomadas e com base em quê.
O que muda a NIS2 na responsabilidade da gerência?
A NIS2 exige da direção das empresas abrangidas que aprove as medidas de gestão de riscos, supervisione a sua aplicação e participe em formações. Os pormenores resultam da lei alemã de transposição e das indicações do BSI.
Um seguro D&O ajuda?
Um seguro de responsabilidade civil de administradores pode cobrir certos riscos de responsabilidade da direção, mas as condições diferem muito. Esclareça o âmbito com o seu mediador ou a sua seguradora.