Em toda a região europeia, estima-se que a lacuna de pessoal na área da cibersegurança seja de 424 000 profissionais (ISC2, 2024) — e, num mundo de dispositivos hiperconectados, essa lacuna já não é apenas um problema de recursos humanos, mas sim uma vulnerabilidade estrutural.
Essa vulnerabilidade é ampliada pela Internet das Coisas (IoT), que liga dispositivos físicos — desde sensores industriais e equipamento médico até contadores inteligentes e produtos de consumo — a redes, para que possam trocar dados. À medida que estas tecnologias são implementadas em infraestruturas críticas, sistemas industriais, cuidados de saúde e serviços públicos, a gestão do risco cibernético depende não só de ferramentas técnicas, mas também da capacidade das organizações de disporem de pessoas capazes de coordenar as áreas de engenharia, governação, aquisições e operações sob pressão real.
Este Resumo Digital analisa por que razão a cibersegurança da IoT continua a ser estruturalmente difícil de garantir, como a fragmentação da força de trabalho se tornou uma vulnerabilidade oculta e como se apresenta uma resposta credível. Com base em dados da Agência da União Europeia para a Cibersegurança (ENISA), da IBM X-Force, da ISC2, da Organização para a Cooperação e Desenvolvimento Económico (OCDE) e do Centro de Excelência de Ciberdefesa Cooperativa da OTAN (CCDCOE), o relatório traça a transição da proteção técnica para a resiliência operacional — e defende que o desenvolvimento de competências digitais em grande escala é o elemento mais urgente e mais subfinanciado da estratégia de cibersegurança da Europa.
Desde o ataque ao setor energético dinamarquês em 2023 até às metas da «Década Digital» da UE e à estratégia «União das Competências» para 2025, o artigo estabelece uma ligação entre incidentes do mundo real e compromissos políticos, dados sobre a força de trabalho e abordagens práticas de formação — incluindo exercícios de simulação e microaprendizagem integrada — que estão a começar a colmatar o fosso entre o que os quadros regulamentares europeus exigem e o que a sua força de trabalho consegue atualmente oferecer.
Palavras-chave
#cibersegurança da IoT, #força de trabalho em cibersegurança, #resiliência operacional, #competências digitais, #resiliência cibernética
De que forma está a transformação hiperconectada da Europa a alargar a superfície de ataque à cibersegurança?
Em maio de 2023, os atacantes comprometeram 22 empresas de energia dinamarquesas no maior ataque coordenado à infraestrutura crítica dinamarquesa até à data. O ponto de entrada não foi uma exploração sofisticada de dia zero direcionada a um sistema classificado. Foi uma firewall — um dispositivo de perifeiria amplamente implementado que protege sistemas de controlo industrial. Já estava disponível uma correção. Tinham sido emitidos alertas. Os dispositivos vulneráveis permaneceram desprotegidos e onze empresas foram violadas simultaneamente no espaço de algumas horas. Algumas foram obrigadas a desligar-se completamente da rede energética nacional (SektorCERT, 2023).
O incidente ilustra algo que as estatísticas, por si só, não conseguem demonstrar: em ambientes hiperconectados, o elo mais fraco de uma cadeia de segurança raramente é o mais complexo do ponto de vista técnico. É aquele que é negligenciado — o dispositivo sem patch, a dependência de um fornecedor não mapeada, a equipa que não recebeu qualquer formação em segurança de tecnologias operacionais.
A transformação digital da Europa está a acelerar este desafio em grande escala. Os ecossistemas interligados unem agora infraestruturas críticas, serviços públicos, plataformas na nuvem, sistemas industriais, cadeias de abastecimento e tecnologias de consumo conectadas. A expansão dos ambientes de IoT, das tecnologias da Indústria 4.0 — tais como a produção inteligente e a automação industrial — e das infraestruturas ciberfísicas está a criar novos níveis de hiperconectividade. Os dados do Eurostat revelam que 70 % dos cidadãos da UE já utilizam dispositivos IoT no seu quotidiano, enquanto 48 % das grandes empresas europeias implementaram dispositivos conectados nas suas operações (Eurostat, 2024).
À medida que estes sistemas se tornam cada vez mais interligados, as consequências de uma única falha propagam-se mais longe e mais rapidamente. As perturbações operacionais, as falhas dos fornecedores e os incidentes cibernéticos já não ficam confinados — atravessam as fronteiras digitais e físicas, afetando simultaneamente a continuidade da produção, as redes de transportes, a prestação de cuidados de saúde e o abastecimento energético.
Neste contexto, a cibersegurança já não se resume apenas a proteger sistemas individuais. Trata-se de garantir que as organizações — e as pessoas que nelas trabalham — possam continuar a operar quando esses sistemas são alvo de ataques.
Por que razão é a IoT tão estruturalmente difícil de proteger?
Apesar da crescente sensibilização para a cibersegurança e da atenção regulatória, os ambientes de IoT continuam a ser estruturalmente difíceis de proteger — e as razões prendem-se especificamente à forma como estes sistemas são construídos, implementados e mantidos.
Ao contrário dos sistemas tradicionais de tecnologias da informação (TI), os ambientes de IoT distribuem a responsabilidade por dispositivos, fornecedores, plataformas na nuvem, infraestruturas industriais e serviços de terceiros, sem uma visibilidade unificada nem uma responsabilidade clara. As organizações podem ter dificuldade em rastrear quais os dispositivos que estão ligados, identificar quais os fornecedores que suportam operações críticas ou compreender como uma perturbação numa área pode afetar outras. Isto não é, principalmente, uma falha técnica — é uma falha organizacional e de governação. Conforme relata a IBM X-Force, os dispositivos de perímetro, tais como routers, switches e gateways de rede privada virtual (VPN), representam mais de 75% de todos os ciberataques relacionados com a IoT, precisamente porque se situam na fronteira entre ambientes geridos e não geridos, frequentemente mantidos por equipas diferentes e sob normas diferentes (IBM, 2026).
O perfil de vulnerabilidade dos dispositivos IoT agrava esta situação. Mais de metade das vulnerabilidades conhecidas da IoT não requerem autenticação para serem exploradas, o que significa que os atacantes podem obter controlo remoto dos dispositivos sem precisarem de credenciais roubadas ou de campanhas de phishing (IBM, 2026). Muitos sistemas conectados e industriais permanecem em serviço durante décadas. O NIST observa que a vida útil dos sistemas de tecnologia operacional pode exceder os 20 anos, deixando as organizações com hardware ou software que já não tem suporte e não pode ser corrigido ou atualizado contra novas vulnerabilidades (NIST, 2023).
Estas dependências acarretam consequências no mundo real. Em ambientes industriais e operacionais, um incidente cibernético não se limita ao mundo digital. A indústria transformadora continua, pelo quinto ano consecutivo, a ser o setor mais atacado a nível global, representando 27,7% de todos os incidentes monitorizados (IBM, 2026). No setor da saúde, 54% dos ciberataques envolvem ransomware dirigido a dispositivos médicos conectados, sendo que cada violação causa, em média, dezanove dias de perturbação nos serviços de urgência (Comissão Europeia, 2025). Quando os sistemas digitais estão integrados nas operações físicas, a fronteira entre uma falha de cibersegurança e uma falha de segurança pública torna-se perigosamente ténue.
Consequentemente, a proteção dos ambientes de IoT depende tanto da coordenação e da governação operacional como da proteção técnica — e essa dependência coloca a força de trabalho, e não apenas a tecnologia, no centro do problema.
Por que razão a fragmentação da força de trabalho está a tornar-se a vulnerabilidade oculta da segurança da IoT?
Muitas falhas de cibersegurança da IoT resultam não só de vulnerabilidades técnicas, mas também da crescente dificuldade em coordenar as responsabilidades de segurança em ambientes interligados. À medida que as plataformas na nuvem, os sistemas industriais, os serviços públicos, as cadeias de abastecimento e os dispositivos conectados ficam cada vez mais interligados, a cibersegurança depende de que as equipas de engenharia, operações, aquisições, conformidade, governação e resposta a incidentes se coordenem eficazmente durante as perturbações.
A dimensão do problema subjacente relacionado com a força de trabalho torna esta coordenação mais difícil do que deveria ser. Em toda a região europeia, estima-se que a lacuna de pessoal na cibersegurança seja de 424 000 profissionais (ISC2, 2024), enquanto uma análise do mercado de trabalho da OCDE revelou que a procura por profissionais de cibersegurança cresce mais rapidamente do que a de outras profissões nos países europeus analisados (OCDE, 2024). Fundamentalmente, a questão passou de uma questão de número de efectivos para uma questão de capacidade: 95 % das organizações referem que as lacunas de competências — e não apenas o número de colaboradores — causaram directamente incidentes de segurança significativos no último ano (ISC2, 2025). Os modelos tradicionais de cibersegurança foram concebidos em torno de equipas técnicas de segurança isoladas. Os ambientes hiperconectados tornaram esses modelos obsoletos.
Tabela 1 — Resumo da lacuna de mão-de-obra em cibersegurança na Europa
Indicador Valor Fonte Défice total de profissionais de cibersegurança na UE 300 000–424 000 vagas por preencher ISC2/OCDE, 2024–25 Défice de competências específicas em OT 30 000–45 000 vagas por preencher ISC2, 2025 Organizações onde as lacunas de competências causaram incidentes 95 % afetadas ISC2, 2025 Profissionais atuais sem qualificações formais 76% Comissão Europeia, 2025 Crescimento da procura em comparação com outras profissões Até 3 vezes mais rápido OCDE, 2024 Mulheres entre os licenciados em cibersegurança Apenas 20% OCDE, 2024 Fontes: Estudo da ISC2 sobre a Força de Trabalho em Cibersegurança 2025; OCDE, 2024; Comissão Europeia, 2025.
A disparidade é mais acentuada nos ambientes de tecnologia operacional (OT) — os sistemas que controlam processos físicos, tais como maquinaria industrial, redes energéticas e redes de transportes. Estima-se que o défice de competências em cibersegurança de OT na Europa se situe entre 30 000 e 45 000 vagas por preencher, concentradas nos setores da indústria transformadora, energia, transportes e serviços públicos (ISC2, 2025). Estas vagas são estruturalmente mais difíceis de preencher do que os cargos padrão de TI, uma vez que exigem profissionais capazes de fazer a ponte entre dois domínios distintos: por um lado, os protocolos convencionais de segurança de TI e, por outro, os sistemas de controlo industrial legados — incluindo sistemas SCADA (Controlo de Supervisão e Aquisição de Dados) e Sistemas de Controlo Industrial (ICS), que gerem processos físicos críticos, como a produção de energia, o tratamento de água e a automatização da produção —, os requisitos de segurança física e a continuidade operacional. Uma organização pode ter uma equipa de segurança de TI com efetivo completo e, mesmo assim, continuar gravemente exposta, porque ninguém nessa equipa possui experiência prática em OT.
Esta fragmentação cria um problema agravante. A rápida aplicação da Diretiva NIS2 alargou os requisitos de segurança obrigatórios a milhares de instalações industriais europeias que anteriormente não dispunham de qualquer função formal de cibersegurança, fazendo disparar a procura por competências específicas de OT mais rapidamente do que a reserva de talentos consegue crescer (Comissão Europeia, 2024). Ao mesmo tempo, 76 % das pessoas que atualmente ocupam funções na área da cibersegurança na Europa não possuem credenciais formais e até 66 % provêm de áreas não técnicas — o que significa que a força de trabalho que preenche estas lacunas carece de uma preparação estruturada (Comissão Europeia, 2024).
Reconhecendo esta realidade, os quadros europeus estão a começar a redefinir o que significa a capacidade de cibersegurança em ambientes interligados. O Quadro Europeu de Competências em Cibersegurança (ECSF) da ENISA, a Diretiva NIS2 e a Academia de Competências em Cibersegurança da UE refletem, todos, uma mudança, afastando-se da especialização técnica isolada e avançando para uma coordenação contínua entre a governação, a engenharia, a gestão de fornecedores e a resiliência operacional. A questão é saber se o desenvolvimento da força de trabalho está a avançar com rapidez suficiente para acompanhar o ritmo da ameaça.
O que exige a resiliência operacional para além das competências técnicas em cibersegurança?
Os ambientes hiperconectados estão a revelar os limites dos modelos de cibersegurança centrados principalmente na proteção técnica e na prevenção de incidentes. A questão já não é apenas se uma organização consegue impedir um ataque — é se consegue continuar a operar quando um ataque é bem-sucedido.
As estruturas emergentes de resiliência operacional refletem diretamente esta mudança. O desenvolvimento recente mais significativo é a introdução da função «Govern» como âncora central da Estrutura de Cibersegurança 2.0 do NIST. Ao contrário da sua antecessora, que tratava a governação como um elemento passivo dentro da função «Identify», o CSF 2.0 coloca a governação no centro de toda a estrutura — exigindo que os conselhos de administração assumam a cibersegurança como um risco empresarial primário, definam a apetência de risco da organização e garantam que as dependências da cadeia de abastecimento sejam monitorizadas continuamente, em vez de auditadas periodicamente (NIST, 2024). Fundamentalmente, o CSF 2.0 estabelece que uma organização é tão resiliente quanto o seu fornecedor externo mais fraco — um princípio que se aplica diretamente às vulnerabilidades da cadeia de abastecimento da IoT descritas nas secções anteriores.
Na Europa, a Lei da Resiliência Cibernética alarga ainda mais esta responsabilização, tornando os fabricantes legalmente responsáveis pela cibersegurança dos produtos conectados ao longo de todo o seu ciclo de vida operacional — e não apenas no ponto de venda (Comissão Europeia, 2024). Em conjunto, estes quadros representam uma mudança estrutural da conformidade periódica para a «Resiliência desde a Conceção»: incorporar a capacidade de absorver, adaptar-se e recuperar de perturbações na arquitetura dos sistemas e das organizações desde o início, em vez de tratar a resiliência como algo adicionado após uma crise (Deloitte, 2023; WEF, 2024).
Esta transformação está a redefinir a forma como as organizações avaliam a capacidade da força de trabalho. A certificação estática com base numa norma válida num determinado momento já não é suficiente para demonstrar a prontidão operacional. A capacidade da força de trabalho é cada vez mais avaliada através de testes comportamentais, exercícios de prontidão baseados em funções, análises de simulação e painéis operacionais que medem o desempenho de indivíduos e equipas sob pressão — e não apenas as qualificações que possuem. O Quadro Europeu de Competências em Cibersegurança da ENISA apoia esta mudança ao definir 12 perfis de funções profissionais em termos das suas missões, tarefas, aptidões, conhecimentos, competências e interdependências (ENISA, 2022). O Fórum Económico Mundial (WEF) reforça esta ideia diretamente, argumentando que a tecnologia e os processos são operacionalmente inúteis se a força de trabalho não tiver a determinação e a consciência situacional necessárias para agir com base neles (WEF, 2024).
As implicações para o desenvolvimento da força de trabalho são significativas: desenvolver a capacidade de cibersegurança da IoT na Europa não é, em primeiro lugar, uma questão de contratar mais pessoas com as certificações adequadas. É uma questão de saber como essas pessoas são formadas para atuar.
Como pode a Europa formar a força de trabalho em cibersegurança da IoT de que necessita urgentemente?
Aumentar o número de profissionais de cibersegurança é apenas uma parte da solução. O «Global Cybersecurity Outlook» do WEF afirma diretamente que formar mais especialistas não resolverá o problema — a capacidade de segurança deve estar distribuída por toda a força de trabalho, não concentrada numa equipa técnica restrita (WEF, 2026). Os ambientes hiperconectados exigem uma capacidade operacional multidisciplinar que combine conhecimentos técnicos com coordenação, consciência em matéria de governação, supervisão de fornecedores e tomada de decisões sob pressão. Os modelos tradicionais de desenvolvimento da força de trabalho — formação estática, especialização isolada e certificação periódica — não foram concebidos para proporcionar isto.
A arquitetura política da Europa reconhece a dimensão do desafio. O programa «Década Digital» da UE estabelece uma meta de 20 milhões de especialistas em TIC até 2030, com a cibersegurança explicitamente identificada como uma área prioritária — no entanto, as projeções atuais sugerem que a UE atingirá apenas 12 milhões ao ritmo atual de progresso (Comissão Europeia, 2023). Em resposta, o documento «Union of Skills», publicado em março de 2025, compromete a Comissão Europeia a acelerar a «Academia de Competências em Cibersegurança» e a expandir as redes de «ciber-campus» nos Estados-Membros (Comissão Europeia, 2025). Desde 2021, a Comissão investiu aproximadamente 600 milhões de euros em iniciativas de competências em cibersegurança, com uma dotação específica de 10 milhões de euros destinada às PME e às organizações do setor público (Comissão Europeia, 2025). Estes compromissos insere-se no quadro mais alargado do Pilar Europeu dos Direitos Sociais, que estabelece o direito à formação e à aprendizagem ao longo da vida como um princípio fundamental de mercados de trabalho justos e que funcionam bem — colocando o desenvolvimento da força de trabalho em cibersegurança da IoT firmemente na agenda social e digital da Europa (Comissão Europeia, 2021). Trata-se de compromissos significativos — mas o investimento, por si só, não altera a forma como as pessoas aprendem a agir sob pressão.
É por isso que os ambientes de simulação estão a tornar-se centrais para o desenvolvimento da força de trabalho, em vez de serem meramente complementares. Exercícios como o «Cyber Europe» da ENISA e o «Locked Shields» do CCDCOE da OTAN demonstram algo que a formação em sala de aula não consegue replicar: que a resiliência operacional não depende da competência técnica individual, mas da capacidade de múltiplas funções organizacionais se coordenarem simultaneamente durante uma perturbação. No «Locked Shields» — o maior exercício de defesa cibernética em condições reais do mundo, que mobiliza mais de 5 500 sistemas virtualizados representando a infraestrutura crítica de um país — equipas tecnicamente competentes falham sistematicamente se as suas funções jurídicas, de comunicação ou de governação não conseguirem atuar sob pressão a par delas (CCDCOE da OTAN, 2024). O exercício torna explícito o que os incidentes reais confirmam: uma crise nunca é apenas um evento técnico.
Para as organizações que não conseguem realizar exercícios em grande escala, a microaprendizagem integrada oferece um complemento prático. Em vez de afastar equipas com falta de pessoal da monitorização em tempo real para cursos com vários dias de duração — uma realidade operacional que faz com que 36% das equipas de segurança europeias não consigam aceder à formação, apesar de a necessitarem —, a microaprendizagem proporciona módulos focados de três a dez minutos diretamente no âmbito dos fluxos de trabalho diários, acionados por tarefas ou comportamentos específicos (ISC2, 2025). Estudos demonstram consistentemente que as pessoas esquecem até 70% do conteúdo de formação de formato longo no prazo de 24 horas; a aprendizagem contextualizada, específica para cada tarefa e aplicada imediatamente é retida por um período significativamente mais longo. Plataformas europeias, incluindo a SoSafe (Alemanha), a Hoxhunt (Finlândia) e a Avatao (Hungria), implementaram esta abordagem especificamente para contextos de cibersegurança, integrando o coaching comportamental diretamente nas ferramentas que as equipas já utilizam.
Em conjunto, estas abordagens refletem uma transformação mais ampla na filosofia de desenvolvimento da força de trabalho: de uma formação periódica e baseada em credenciais para o desenvolvimento de capacidades contínuo, adaptativo e integrado nas operações — tal como refletido no Quadro Europeu de Competências em Cibersegurança da ENISA e no programa em evolução da Academia de Competências em Cibersegurança da UE, que promove parcerias entre a indústria e o meio académico.
Conclusão: Da Proteção Técnica à Resiliência das Capacidades
As firewalls que falharam na Dinamarca em 2023 não foram o elo mais fraco por serem tecnicamente inferiores. Foram o elo mais fraco porque as organizações responsáveis por elas careciam de pessoal, de processos e de formação para as manter seguras. Essa é a condição subjacente que este artigo identificou: à medida que os ambientes de IoT se expandem pelas infraestruturas críticas, cadeias de abastecimento e serviços públicos da Europa, o fator limitante na resiliência da cibersegurança é cada vez mais humano e organizacional, em vez de técnico. Os quadros normativos, as regulamentações e o investimento estão a alinhar-se — mas o seu valor depende inteiramente da capacidade da Europa para formar uma força de trabalho capaz de operar em ambientes interligados sob pressão real. Em sistemas hiperconectados, a resistência da cadeia depende sempre da qualidade das pessoas que a mantêm.
Sobre a autora
Irina Saavedra é especialista em tecnologia regulatória e fundadora, com mais de 15 anos de experiência nos setores bancário, de gestão de património e de consultoria, incluindo cargos no Bank of America Merrill Lynch e no Bank of Cyprus. A sua carreira tem-se centrado na intersecção entre a regulamentação financeira, a resiliência operacional e a transformação digital — combinando uma profunda experiência institucional com conhecimentos técnicos de implementação nas plataformas Salesforce Financial Services Cloud, Data Cloud e IA. Possui um MBA e é certificada tanto pela Salesforce como pela IBM em implementação tecnológica. Contribuiu com comentários para o projeto de orientações da Comissão Europeia sobre a Lei da Resiliência Cibernética (CRA), centrando-se nos pontos críticos de implementação, incluindo os limites do tratamento de dados à distância, as dependências de terceiros e o alinhamento entre os diferentes quadros regulamentares da CRA, NIS2 e DORA. Está ativamente envolvida na Aliança Europeia das PME Digitais e na iniciativa «Shaping Europe’s Digital Future». Os seus trabalhos publicados abrangem a interpretação regulamentar e as práticas de implementação em matéria de DORA, resiliência operacional, governação da IA, proteção de dados e preparação regulamentar. Irina é a fundadora da IS-Consulting Services, uma empresa de consultoria regulatória que opera nos mercados da Europa Central e Oriental (CEE) e da região DACH, e é a fundadora e criadora do modelo regulamentar da REG-DIGITAL — um modelo determinístico de raciocínio de supervisão desenvolvido em 2025 e validado como participante da «Digital Sandbox» da FCA, estando a preparar-se para a implantação comercial em 2026.