O Governo pôs números em cima da mesa: cerca de 263 milhões de euros do PTRR para a cibersegurança, a maior parte para proteger os sistemas do Estado. Os factos estão no nosso artigo noticioso sobre o PTRR e a cibersegurança. Aqui fica a nossa leitura: o cheque está passado, agora falta a obra.
Em resumo: Os 263 milhões de euros que o PTRR reserva à cibersegurança são uma boa notícia e chegam com anos de atraso. Mas o dinheiro não protege ninguém por si só. Execução, desequilíbrio entre Estado e empresas, falta de pessoas qualificadas e ausência de metas públicas são os quatro riscos que podem reduzir este investimento a mais um anúncio.
Uma boa notícia, com anos de atraso
Durante muito tempo, o Estado português tratou a cibersegurança como uma despesa acessória, algo a resolver depois do próximo incidente. Os ataques que em 2022 paralisaram grandes organizações nacionais mostraram o preço dessa atitude. Um envelope plurianual, inscrito num plano com horizonte até 2034 e com medidas concretas, é um sinal de maturidade que merece ser reconhecido.
A escolha das prioridades também é acertada. Centros de operações de segurança, gestão de vulnerabilidades e cloud soberana são exatamente as capacidades que faltam a muitos organismos. E a aposta na redundância geográfica e na recuperação de desastres faz todo o sentido: depois do apagão de 2025 e das tempestades de 2026, ninguém pode dizer que a continuidade dos serviços públicos é um cenário teórico.
Mas um anúncio não protege ninguém. Vemos quatro riscos.
Quatro riscos que podem deitar o investimento a perder
1. A execução
Portugal conhece bem a dificuldade de executar fundos dentro do prazo. Comprar tecnologia é a parte fácil; integrá-la em dezenas de organismos com níveis de maturidade muito diferentes é a parte difícil. O próprio secretário de Estado da Presidência do Conselho de Ministros admitiu o problema ao questionar se o Estado deve continuar a ter doze ou treze redes de comunicação eletrónica diferentes. Se os 225 milhões forem distribuídos rede a rede e serviço a serviço, sem consolidação, o resultado será mais equipamentos e mais painéis, não mais segurança.
2. O desequilíbrio entre Estado e economia
São 225 milhões para o Estado e 20 milhões para PME, autarquias e setor social, num país onde o Regime Jurídico da Cibersegurança alarga obrigações a milhares de organizações. Faz sentido o Estado arrumar primeiro a própria casa. Mas 20 milhões ao longo de vários anos é pouco para um tecido empresarial em que muitas empresas não têm uma única pessoa dedicada à segurança informática, e para autarquias que continuam a ser alvo de ataques com impacto direto nos cidadãos.
3. As pessoas
Este é, a nosso ver, o risco maior. Um centro de operações de segurança não funciona sem analistas, e esses analistas são disputados por bancos, operadoras de telecomunicações e consultoras, que pagam mais e oferecem progressão mais rápida do que a Administração Pública. Sem uma política de carreiras e de retenção para os técnicos de cibersegurança do Estado, parte deste investimento arrisca transformar-se em contratos de prestação de serviços, com dependência crescente de fornecedores externos e perda de conhecimento interno sempre que um contrato termina.
A forma como o Estado compra também conta. No mesmo debate, o antigo diretor-geral do Gabinete Nacional de Segurança, António Gameiro Marques, defendeu que a contratação pública valorize a capacidade técnica e financeira das empresas, em vez de se decidir pelo preço mais baixo. Concordamos: em cibersegurança, o fornecedor mais barato pode sair muito caro.
4. A prestação de contas
A estratégia nacional e o plano de resposta a crises no ciberespaço têm conclusão apontada para 2026, e estamos em novembro. É legítimo perguntar em que ponto estão. Um investimento desta dimensão precisa de metas públicas e de um calendário verificável.
O que propomos
Pedimos o óbvio, ao alcance de qualquer projeto bem gerido:
- um relatório anual de execução, publicado pelo CNCS, com a verba executada por medida;
- indicadores públicos de resultado, como o tempo médio de deteção e resposta a incidentes e a percentagem de organismos cobertos por um centro de operações de segurança;
- a medição do cumprimento da NIS2 na própria Administração Pública, com as mesmas exigências que se impõem às empresas;
- um programa de carreiras e retenção para técnicos de cibersegurança do Estado, financiado como parte do investimento e não como despesa à parte.
O outro lado
Há argumentos sérios em sentido contrário. O Estado é o maior alvo e o maior guardião de dados pessoais do país, o que justifica concentrar nele o esforço. As empresas abrangidas pela NIS2 já são obrigadas a investir com recursos próprios, e não cabe necessariamente ao contribuinte pagar a sua segurança. O Governo tem defendido prudência legislativa e cooperação em vez de mais regulação, o que pode reduzir custos de conformidade. E o reforço sucessivo do orçamento do Gabinete Nacional de Segurança sugere que a capacidade de execução está, de facto, a crescer.
São argumentos válidos. O teste definitivo será o primeiro relatório de execução.
Perguntas frequentes
O investimento do PTRR em cibersegurança é suficiente?
É o maior envelope dedicado ao tema em anos e cobre áreas essenciais, como centros de operações de segurança, cloud soberana e recuperação de desastres. A suficiência vai depender sobretudo da capacidade de execução e da retenção de profissionais qualificados.
Porque é que as PME recebem menos verbas do que o Estado?
Dos 263 milhões, 225 milhões destinam-se ao Estado e à Administração Pública e 20 milhões à formação dos setores privado e social. O Governo privilegia a proteção dos sistemas públicos; as empresas abrangidas pela NIS2 têm de investir com recursos próprios.
Que indicadores permitiriam avaliar a execução?
Por exemplo, o tempo médio de deteção e resposta a incidentes, a percentagem de organismos cobertos por um centro de operações de segurança, o grau de cumprimento da NIS2 na Administração Pública e a percentagem da verba efetivamente executada em cada ano.
Onde estão os factos sobre o PTRR e a cibersegurança?
No artigo noticioso da Cibersegurança.PT sobre o tema, que detalha as três medidas, os valores e o calendário de execução.
Este artigo de opinião é da responsabilidade do seu autor, Jose Santos, diretor da Cibersegurança.PT. Os dados citados baseiam-se no documento do PTRR (Governo, abril de 2026) e em declarações públicas reportadas pela imprensa, detalhadas no nosso artigo noticioso.