5 short insights this week: The EU just took seven governments to court over resilience · DORA just stopped being paperwork · Hackers didn't breach Instagram. They asked the bot nicely.…
Nesta edição
Receba o próximo GRC Brief na sua caixa de entrada.
Subscrever The GRC BriefA UE acabou de levar sete governos a tribunal pela sua resiliência
Em 28 de abril, a Comissão Europeia remeteu sete Estados-Membros (Bulgária, França, Luxemburgo, Países Baixos, Polónia, Espanha e Suécia) para o Tribunal de Justiça por não terem transposto a Diretiva CER, e está a pedir ao Tribunal que aplique sanções financeiras. CER é a Diretiva sobre a Resiliência das Entidades Críticas, a irmã física e operacional das regras cibernéticas da NIS 2. Mesma data-limite de outubro de 2024. Cobre entidades críticas na energia, transportes, saúde, água, banca e infraestrutura digital, e adota uma visão de todos os riscos: não só ciberataques, mas também sabotagem, ameaças internas e disrupção física.
Fonte: European Commission · press release, 28 Apr 2026
A minha análise
Toda a gente em GRC está soterrada pela NIS 2 neste momento. Entretanto, a sua irmã gémea é a que está a pôr governos à frente de um juiz. A CER é a metade da resiliência europeia que a maioria das equipas de segurança contorna silenciosamente, porque não é "cyber". É a vedação, o gerador de backup, o fornecedor único, o tipo que ainda tem acesso por cartão dois anos depois de sair.
Se opera num setor crítico, é muito provável que se enquadre em ambos. A NIS 2 pergunta se consegue manter os atacantes fora dos seus sistemas. A CER pergunta se consegue manter o serviço a funcionar quando algo físico corre mal. Pergunta diferente. Controlos diferentes. Mesma responsabilidade ao nível do conselho. Isto é território de resiliência operacional, não apenas de segurança da informação.
O sinal é simples. A Comissão parou de mandar cartas e começou a pedir multas. Quando um governo é sancionado por estar atrasado, essa pressão não fica num ministério. Desce até às entidades. Se "resiliência" na sua casa significa antivírus e um backup noturno, está a ler metade do brief.
A DORA acabou de deixar de ser papelada
A 3 de junho, as três Autoridades Europeias de Supervisão publicaram a primeira panorâmica anual dos incidentes TIC graves no setor financeiro da UE. O quadro passou oficialmente de "implementem" para "estamos a ler os vossos relatórios". Sinalizaram um risco cada vez mais transfronteiriço e interligado, além da subida das ferramentas de ataque assentes em IA.
Fonte: National Law Review · ESAs first ICT-incident report
A minha análise
É o momento em que a DORA mostra os dentes. Os reguladores têm agora um ano inteiro de dados de incidentes, e publicaram-no. Tradução: sabem como é um bom reporte, e vão começar a compará-lo com o vosso.
Se é uma entidade financeira, ou um fornecedor TIC que alimenta uma, a vossa classificação de incidentes e a vossa cronologia de reporte são agora tema de comissão executiva. Não apenas "têm um playbook" mas "o vosso playbook produz os números que as ASE acabaram de publicar, nos prazos que esperam".
Os hackers não invadiram o Instagram. Pediram com jeitinho ao bot.
Os atacantes assumiram o controlo de contas Instagram de perfil alto falando com o assistente de suporte por IA da Meta. Falsificam a localização com uma VPN, pedem ao bot para adicionar um novo e-mail de recuperação, recebem o código de uso único, redefinem a palavra-passe. Sem humano envolvido. A conta da Casa Branca de Obama e uma da US Space Force estiveram entre as visadas, e a falha terá continuado a funcionar depois de a Meta dizer que estava corrigida.
Fonte: KrebsOnSecurity · reporting also by 404 Media, TechCrunch
A minha análise
Esta é a lição de governança de IA do ano, e é grátis. A Meta deu a um agente de IA o poder de redefinir palavras-passe e mudar e-mails de recuperação sem intervenção humana, sem autenticação real do pedido, e sem rasto de auditoria visível para o dono da conta. É exatamente a classe de falha que os reguladores de IA descrevem.
É exatamente disto que trata a ISO 42001. Não "o modelo está enviesado". É "o que esta coisa pode realmente fazer dentro do vosso perímetro, quem deve controlá-la, e como sabem quando descarrila". Se está a implantar agentes de IA em funções sensíveis, a vossa comissão de governança de IA precisa de uma resposta para "o que pode este agente revogar e como".
E reparem na nota de rodapé: a MFA bloqueou a maior parte das apropriações de conta. Os controlos chatos continuam a ganhar.
O vosso fornecedor mais fraco é a vossa superfície de ataque real
O padrão de violação que define 2026 não é a porta da frente. É a cadeia de fornecimento. Pacotes open source envenenados tornaram-se a via de entrada em grandes empresas. Dois bancos americanos foram comprometidos através de um único fornecedor partilhado. Os atacantes já não estão a arrombar a porta. Estão a entrar pelo pé através de alguém em quem já confiam.
Fonte: TechCrunch · the worst breaches of 2026 so far
A minha análise
Ninguém arromba mais a porta. Estão a ser deixados entrar. Através de um fornecedor, uma biblioteca, um prestador, uma integração que se esqueceram que ligaram há três anos. É por isso que o Artigo 21 da NIS 2 e a DORA martelam ambos no risco de terceiros. Não é burocracia. É a trajetória de ataque mais provável.
A ação concreta: refaçam o vosso mapeamento de terceiros este trimestre. Não uma auditoria completa, só duas perguntas por fornecedor crítico. Que dados ou acessos têm. O que acontece se os cortarem amanhã. Vão ficar surpreendidos com quantas respostas serão "não sei".
O AI Act acabou de vos comprar tempo. Não o gastem.
Ao abrigo do AI Act Omnibus (acordo político alcançado a 7 de maio), as obrigações pesadas de alto risco foram empurradas para mais tarde. Os sistemas autónomos do Anexo III têm agora até 2 de dezembro de 2027. A IA embebida em produtos regulados tem até 2 de agosto de 2028. A adoção formal é esperada nas próximas semanas. Mas as obrigações de transparência continuam a aterrar a 2 de agosto de 2026.
Fonte: Gibson Dunn · AI Act Omnibus agreement
A minha análise
Um adiamento não é um perdão. O prazo mexeu-se. O trabalho não encolheu. Se esperarem até 2027 para começar o vosso inventário de IA e as vossas avaliações de risco, farão em pânico o que poderiam fazer com calma agora. E os vossos auditores vão notar a diferença.
E as regras de transparência continuam a bater este agosto, por isso "tivemos uma extensão" não é um plano. Usem a extensão para construir o sistema que torna o 2 de agosto de 2026 sem incidentes, não para adiar a conversa.