Um profissional de cibersegurança não é um simples técnico que conhece ferramentas informáticas. Trata-se de um especialista multidisciplinar com responsabilidades que se estendem desde a arquitetura de sistemas seguros até à conformidade com legislação complexa, passando pela análise de riscos, resposta a incidentes e aconselhamento estratégico aos órgãos de governação das organizações. A realidade do mercado demonstra que as funções críticas em cibersegurança exigem formação académica de nível superior, seja licenciatura, mestrado ou doutoramento, complementada com certificações especializadas e conhecimento profundo das responsabilidades legais e regulatórias que decorrem das suas atividades.

A formação de base deve assentar numa licenciatura em áreas como Engenharia Informática, Engenharia de Telecomunicações, Cibersegurança ou Informática. Alguns profissionais provêm do Direito, particularmente quando se especializam em conformidade regulatória, proteção de dados e investigação forense digital, e essa origem jurídica é hoje um ativo raro e valioso no setor. Esta formação proporciona os fundamentos matemáticos, lógicos e conceptuais necessários para compreender os princípios subjacentes da segurança. Posteriormente, o profissional deve frequentar pós-graduações e mestrados em domínios como Cibersegurança Avançada, Segurança de Sistemas de Informação, Cibercrime e Prova Digital, ou Gestão de Segurança da Informação, que consolidam conhecimentos em criptografia, protocolos de segurança, análise de vulnerabilidades, gestão de riscos e investigação de incidentes.

No plano técnico, o profissional deve dominar arquitetura de segurança de redes, administração de firewalls e sistemas de deteção de intrusões, criptografia simétrica e assimétrica, análise de malware e forense digital, desenvolvimento seguro de aplicações, testes de penetração e gestão de vulnerabilidades. Acrescem competências avançadas em análise de logs, plataformas SIEM para monitorização, controlos de acesso baseados em identidade, gestão de incidentes e investigação de crimes informáticos. Certificações práticas como CEH (Certified Ethical Hacker) da EC-Council, OSCP (Offensive Security Certified Professional) ou GPEN (GIAC Penetration Tester) constituem diferenciais importantes para demonstrar competência operacional nestes domínios.

Mas a técnica sem direito é cega, e é aqui que a exigência sobe. A Diretiva NIS2 (Diretiva (UE) 2022/2555, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança em toda a União) estabelece obrigações rigorosas para entidades essenciais e importantes em matéria de gestão de riscos, medidas técnicas e organizacionais e reporte de incidentes. Em Portugal, foi transposta pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, que aprova o novo Regime Jurídico da Cibersegurança, em vigor desde 3 de abril de 2026. O regime de notificação de incidentes ao Centro Nacional de Cibersegurança é escalonado e não admite improvisos: alerta precoce até 24 horas após a deteção, notificação do incidente até 72 horas e relatório final até 30 dias úteis, com responsabilização direta do órgão de gestão e coimas que podem atingir os 10 milhões de euros ou 2% do volume de negócios global.

No domínio da proteção de dados, o quadro é o RGPD (Regulamento (UE) 2016/679), cuja execução na ordem jurídica interna é assegurada pela Lei n.º 58/2019, de 8 de agosto. O profissional deve dominar conceitos como minimização de dados, proteção desde a conceção e por defeito, direitos dos titulares e a obrigação de comunicação de violações de dados à CNPD no prazo de 72 horas. Quanto à figura do Encarregado de Proteção de Dados, importa ser rigoroso: o RGPD, nos artigos 37.º a 39.º, exige conhecimentos especializados de direito e práticas de proteção de dados, mas não existe uma certificação oficial europeia de DPO; as certificações disponíveis no mercado são esquemas privados que atestam formação, não títulos habilitantes.

Para quem trabalha em investigação forense e resposta a incidentes, o diploma central é a Lei n.º 109/2009, de 15 de setembro, a Lei do Cibercrime, que adaptou o direito português à Convenção sobre o Cibercrime do Conselho da Europa, a Convenção de Budapeste de 2001, ratificada por Portugal em 2009. Foi alterada pela Lei n.º 79/2021, de 24 de novembro, que transpôs a Diretiva 2013/40/UE relativa a ataques contra sistemas de informação. Este quadro define os crimes de acesso ilegítimo, interceção ilegítima, dano relativamente a programas ou dados, sabotagem informática, reprodução ilegítima de programa protegido e falsidade informática, além do regime processual de obtenção de prova digital. Um profissional com formação jurídica compreende estas fronteiras e consegue conduzir investigações forenses sem contaminar a prova nem incorrer ele próprio em responsabilidade criminal. Vale a pena recordar, a propósito, que a Lei n.º 32/2008, sobre conservação de metadados, viu as suas normas centrais declaradas inconstitucionais pelo Acórdão n.º 268/2022 do Tribunal Constitucional, um aviso claro de que nem tudo o que é tecnicamente possível é juridicamente admissível.

A legislação setorial acrescenta camadas adicionais consoante a indústria. No setor financeiro, a Diretiva PSD2 (Diretiva (UE) 2015/2366) impõe autenticação forte do cliente e segurança nos pagamentos eletrónicos, a que acresce o Regulamento DORA (Regulamento (UE) 2022/2554) sobre resiliência operacional digital das entidades financeiras. Na saúde, a proteção dos dados clínicos assenta no artigo 9.º do RGPD, que trata as categorias especiais de dados, e no emergente Espaço Europeu de Dados de Saúde. Operadores de infraestruturas críticas somam ainda as obrigações da Diretiva CER (Diretiva (UE) 2022/2557) sobre resiliência de entidades críticas. Setores como telecomunicações, energia, transportes e água têm regulamentação própria que o profissional tem de dominar, sob pena de a organização acumular exposição regulatória sem o saber.

Em conclusão, o profissional de cibersegurança deve possuir formação académica superior, como licenciado, engenheiro ou jurista especializado, complementada com pós-graduações, certificações técnicas reconhecidas internacionalmente e conhecimento profundo do enquadramento regulatório português e europeu. Não se trata meramente de um especialista técnico, mas de alguém responsável pelo cumprimento da lei, pela proteção de direitos fundamentais como a privacidade e pelo aconselhamento estratégico das organizações num contexto de ameaças crescentes. Existem, é certo, excelentes profissionais que chegaram à cibersegurança apenas com o 12.º ano e muito mérito próprio; mas são poucos, e falta-lhes frequentemente a visão da doutrina, aquela que permite perceber não apenas como se faz, mas porque se pode ou não fazer.

Muitos dos atuais técnicos de cibersegurança que ainda possuem só o 12.º ano (ainda que com cursos técnicos de elevada complexidade), deveriam tirar um curso superior, porque isso iria poder provocar uma ascensão financeira significativa na sua carreira e muitos deixariam de ser explorados por algumas empresas deste ramo. Relembro que muitos destes são pessoas de altíssima capacidade técnica.