Quem compra tecnologia de segurança na Europa está a dar cada vez mais peso à morada do fabricante. Nos dois anos terminados no terceiro trimestre de 2026, o canal de distribuição da região EMEA escoou mais 35% de produtos de cibersegurança de marcas sediadas na União Europeia, num mercado que avançou 10% e em que as marcas norte-americanas ficaram pelos 8%. Os números são da analista Context e foram divulgados a 12 de novembro pelo The Register; não foi possível localizar um comunicado próprio da Context com estes dados.
Resposta rápida: As marcas de cibersegurança com sede na UE valem agora 15% das vendas monitorizadas pela Context na distribuição EMEA, contra 62% das norte-americanas. A analista liga a tendência às obrigações regulatórias europeias sobre dependência de terceiros. A origem do fabricante não garante soberania, pelo que deve pedir provas sobre chaves de cifra, acesso a registos e localização dos dados antes de contratar.
O que mostram os números da Context
Os dados medem vendas através de distribuidores na Europa, Médio Oriente e África, e não o mercado total. Quase três pontos percentuais de quota passaram, em dois anos, para o lado das marcas da UE, que partiam de uma base pequena. A liderança continua, por larga margem, nas mãos de fabricantes com sede nos Estados Unidos.
| Sede do fabricante | Variação em dois anos (até ao 3.º trimestre de 2026) | Quota das vendas monitorizadas |
|---|---|---|
| União Europeia | +35% | 15% |
| Estados Unidos | +8% | 62% |
| Mercado total | +10% | 100% |
Onde a Europa lidera e onde continua dependente
A fotografia muda muito consoante a categoria de produto.
| Categoria | Origem dominante | Quota |
|---|---|---|
| Formação e sensibilização em segurança | UE | 92% |
| Gestão de vulnerabilidades | UE | 82% |
| SIEM e gestão de registos | UE | 52% |
| Gestão de identidades e acessos (IAM) | EUA | 74% |
| Segurança cloud | EUA | 54% |
Joe Turner, vice-presidente de investigação da Context, resume a mudança numa frase: «A soberania digital está a tornar-se uma decisão de compra». As chaves de cifra, o acesso a registos sensíveis e o local onde os dados ficam guardados passaram a constar das perguntas de clientes e revendedores. Manter a plataforma de identidade já instalada não impede, exemplifica, a entrega da gestão de registos de segurança a um fornecedor europeu.
Regulação a empurrar a mudança
A explicação avançada pela Context fica-se pelo enquadramento regulatório: a diretiva NIS2 e o regulamento DORA estão a levar as organizações a rever a dependência de tecnologia de terceiros. O setor financeiro está sujeito ao DORA desde janeiro de 2025.
A 3 de junho de 2026, Bruxelas juntou uma peça nova ao tabuleiro: a proposta de Cloud and AI Development Act (CADA), núcleo do pacote de soberania tecnológica. Quatro níveis de garantia graduam ali os requisitos de segurança, resiliência e soberania de que dependerá o acesso a contratos públicos de cloud. Os grandes fornecedores globais não ficam excluídos, mas enfrentam obrigações de conformidade acrescidas. O texto é ainda uma proposta, sem força de lei até concluir a negociação em trílogo.
«Soberano» no rótulo não chega, avisa a Omdia
Comprar europeu não resolve tudo. O aviso vem de um estudo da Omdia sobre fornecedores de inteligência artificial «soberana», um mercado vizinho do da cibersegurança. Termos de serviço, acordos de nível de serviço, acordos de tratamento de dados, práticas de privacidade e certificações de 35 fornecedores em 20 países serviram de matéria-prima ao relatório apresentado a 14 de outubro. As conclusões:
- Falta qualquer prova divulgada de soberania em 28% dos casos, e há quem remeta para o cliente o custo das auditorias de verificação.
- Os fornecedores descartam a responsabilidade pela resiliência da rede em oito de cada dez contratos.
- Créditos de serviço são a única compensação por incumprimento em dois terços dos casos.
- A maioria dos fornecedores locais fica atrás dos norte-americanos em transparência e condições contratuais, com a Índia como exceção.
«O alojamento local não é soberania», afirma Camille Mendler, diretora de investigação da Omdia, para quem a exigência se estende aos dados em trânsito e, portanto, à rede. Quatro dimensões compõem o conceito na grelha da analista: residência dos dados, autonomia operacional, soberania jurisdicional e autonomia tecnológica. O risco maior recai sobre as PME, cujas equipas de TI reduzidas raramente têm meios para escrutinar estas alegações.
O que perguntar antes de assinar
Das duas análises resulta um guião de perguntas aplicável a qualquer fornecedor, europeu ou não:
- Quem detém e gere as chaves de cifra?
- Quem acede a registos e telemetria, e a partir de que jurisdição?
- Onde ficam os dados, em repouso e em trânsito?
- Que certificações ou auditorias independentes sustentam a alegação de soberania, e quem as paga?
- O contrato prevê compensação efetiva em caso de falha, ou apenas créditos de serviço?
Porque importa para as organizações em Portugal
Em Portugal, a NIS2 chegou pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, que aprovou o Regime Jurídico da Cibersegurança e vigora desde 3 de abril de 2026. Vulnerabilidades de cada fornecedor direto, qualidade dos produtos na vertente de cibersegurança e práticas de desenvolvimento seguro entram obrigatoriamente na avaliação da cadeia de abastecimento, como detalha o CNCS nas suas perguntas frequentes. Nada nesta lista impõe a compra a fabricantes europeus: o que se exige é uma avaliação de risco documentada, que ganha em incluir jurisdição, controlo de chaves e acesso a dados.
Quando registos de segurança ou telemetria contêm dados pessoais, a localização e o acesso a partir de fora da UE relevam também para o RGPD, nomeadamente nas regras sobre transferências internacionais. Para as PME, com menos capacidade de auditoria, o guião acima pode integrar os cadernos de encargos e as renovações de contrato.
Perguntas frequentes
O que revelam os dados da Context?
Os distribuidores da região EMEA faturaram mais 35% com cibersegurança de marcas sediadas na UE nos dois anos até ao terceiro trimestre de 2026, o que elevou a quota destas marcas para 15%. As norte-americanas mantêm 62%.
Comprar a um fabricante europeu garante soberania digital?
Não necessariamente. No estudo da Omdia sobre IA «soberana», 28% dos fornecedores analisados não divulgam qualquer prova do que alegam. Contam o controlo das chaves, o acesso operacional, a jurisdição aplicável e as garantias contratuais.
A NIS2 obriga a escolher fornecedores europeus?
Não. A avaliação da cadeia de abastecimento prevista no regime português incide sobre as vulnerabilidades, a qualidade dos produtos e as práticas de cibersegurança de cada fornecedor direto, sem fixar uma origem geográfica.
O que deve uma PME perguntar antes de contratar?
Quem gere as chaves de cifra, quem acede aos registos e de onde, onde ficam os dados em repouso e em trânsito, que auditorias independentes existem e que compensação o contrato prevê em caso de falha.
Esta informação tem caráter noticioso e baseia-se em dados da Context divulgados pelo The Register e em informação publicada pela Omdia, pela Comissão Europeia (EUR-Lex) e pelo CNCS.