---
title: "O comprador mudou-se para a sala de administração. A maioria dos MSPs continua a falar com a sala dos servidores. | Guardian360"
description: "A compra de cibersegurança deixou de estar nas mãos do responsável de TI e passou para a administração. Os MSPs que não conseguem ter a conversa da sala de administração vão perder para aqueles que conseguem."
url: https://guardian360.net/pt/blog/the-buyer-moved-to-the-boardroom/
locale: en
source: guardian360.net
---
[← Todos os artigos](https://guardian360.net/pt/blog/)

Parceiros

# O comprador mudou-se para a sala de administração. A maioria dos MSPs continua a falar com a sala dos servidores.

Por Jan Martijn Broekhof · 15 de junho de 2026

Depois de um evento recente para managed service providers, um experiente diretor de segurança de um distribuidor europeu fez-me uma pergunta que me ficou na cabeça. Não sobre como a plataforma funciona. Nem sobre quais as funcionalidades que importam. Perguntou-me como é que um MSP constrói um serviço em torno da conformidade nos primeiros noventa dias. Como é que se transforma uma dor de cabeça regulamentar numa proposta que se consegue efetivamente vender.

Essa pergunta é mais reveladora do que parece. Assinala uma mudança que a maioria dos MSPs consegue sentir, mas que ainda não traduziu no seu modelo de negócio. A pessoa que compra cibersegurança mudou. A pergunta que faz mudou. E os MSPs que não acompanharem essa mudança não vão perder clientes por a sua engenharia ser fraca. Vão perder clientes porque um concorrente teve uma conversa que eles não conseguiram ter.

## O comprador já não é o responsável de TI

Durante quase toda a última década, a pessoa que comprava segurança a um MSP era o responsável de TI. A conversa era técnica. O orçamento estava dentro das TI. A pergunta era uma qualquer variação de “estamos com os patches em dia, estamos cobertos, estamos a ser monitorizados”.

Essa pessoa já não é o único comprador e, cada vez mais, não é a pessoa decisiva. A cibersegurança subiu no edifício, para a sala de administração, e foi a lei que a colocou lá. Ao abrigo da diretiva NIS2, a responsabilidade pela gestão do risco cibernético recai explicitamente sobre o órgão de gestão, e os administradores podem ser responsabilizados pessoalmente por não a governarem. A NIS2 vai ainda mais longe: obriga os Estados-Membros a assegurar que os membros dos conselhos de administração recebem formação em risco cibernético, um dever que agora abrange administradores em toda a União Europeia. A ENISA, a agência da UE para a cibersegurança, publicou orientações sobre estas funções e responsabilidades em junho de 2025, e as transposições nacionais estão a transformar o princípio em lei vinculativa a ritmos diferentes. A Alemanha avançou primeiro e avançou com firmeza: a NIS2-Umsetzungsgesetz, a lei de implementação alemã, entrou em vigor a 6 de dezembro de 2025 sem qualquer período de transição, o que significa que as organizações que esperaram por orientações de fiscalização já estavam em incumprimento no primeiro dia. Os Países Baixos vêm logo a seguir. O seu parlamento adotou a Cyberbeveiligingswet, a lei de implementação neerlandesa da NIS2, a 15 de abril de 2026, e espera-se que a lei entre em vigor a 1 de julho de 2026. O decreto que a acompanha e que detalha as obrigações concretas, o Cyberbeveiligingsbesluit, torna explícito o dever de formação dos administradores.

Lê esse último ponto outra vez. Por toda a Europa, e agora inscrito na lei nacional país a país, os membros dos conselhos de administração são obrigados a receber formação em risco cibernético. Quando o legislador escreve um dever de formação para administradores em lei vinculativa, o tema saiu inequivocamente da sala dos servidores.

Por isso, a pergunta que a administração do teu cliente faz agora não é “estamos com os patches em dia”. É “conseguimos provar que somos resilientes e conformes”. E essa única palavra, provar, muda tudo para ti enquanto MSP dele.

## Porque é que “provar” muda tudo?

Há uma diferença enorme entre ser seguro e conseguir demonstrá-lo. Dizer “levamos a segurança a sério” costumava ser suficiente para renovar uma apólice de ciberseguro ou satisfazer o departamento de compras de um cliente. Já não é suficiente.

O ciberseguro é o exemplo mais claro. A subscrição transformou-se discretamente numa auditoria técnica. De acordo com o relatório de mercado de ciberseguro de 2026 da Aon, “cerca de três em cada quatro seguradoras realizam agora um scan externo à superfície de ataque durante a subscrição”, em vez de confiarem numa autodeclaração. As implicações financeiras são significativas: controlos documentados podem fazer variar um prémio em vinte a quarenta por cento na renovação, e a S&P Global Ratings prevê que os prémios de ciberseguro subam quinze a vinte por cento em 2026, depois de dois anos de descidas. Uma organização que não consegue apresentar provas não paga apenas mais. Pode ver-se sem cobertura disponível a qualquer preço.

O mesmo padrão surge nos questionários a fornecedores. As empresas do mercado intermédio e as PME recebem agora estes questionários às dezenas, cada um a perguntar não se os controlos existem, mas a exigir prova de que existem. Tal como a própria comunidade de distribuidores e MSPs documentou, a declaração de uma página deu lugar a questionários detalhados e, em alguns casos, a avaliações externas antes de uma apólice ser fechada. A prova contínua supera um retrato anual, porque o comprador do outro lado aprendeu que uma declaração num único momento lhe diz muito pouco.

É este o cerne da mudança. O mercado passou de afirmar para provar. E provar é um trabalho contínuo, estruturado e demorado. É precisamente aí que reside a oportunidade, e o problema, para os MSPs.

## Porque é que a maioria dos MSPs não está a acompanhar o comprador

Aqui está a parte incómoda. A maioria dos MSPs não consegue ter hoje a conversa da sala de administração. Não porque sejam maus no que fazem. Por causa de duas coisas que nada têm a ver com a qualidade da sua engenharia.

A primeira são as ferramentas. Um ambiente típico de cliente tem proteção de endpoints, segurança do Microsoft 365, ferramentas de identidade, um gestor de palavras-passe e backup. Cada uma dessas ferramentas é excelente na sua própria função. Mas cada uma fala a sua própria linguagem, produz o seu próprio relatório e vive no seu próprio dashboard. Quando o CFO entra e pergunta “conseguimos provar que estamos em conformidade com a NIS2”, não há um único sítio que responda à pergunta. Alguém tem de abrir uma consola atrás da outra e montar a resposta à mão, mapeando as conclusões técnicas para os controlos de conformidade ao longo de uma folha de cálculo. Várias consolas, relatórios dispersos, nenhuma resposta única.

A segunda razão é a equipa, e é a mais séria das duas. Mesmo que as ferramentas conseguissem montar o quadro, o MSP não tem as horas. Bons engenheiros são escassos e caros, e os que tens estão faturáveis no trabalho que paga hoje: ciclos de patches, resposta a incidentes, onboarding. O trabalho de recolha de provas que a sala de administração exige agora não encaixa em lado nenhum. É demasiado estratégico para o service desk e demasiado detalhado para a gestão, e ninguém tem uma semana livre por cliente para o fazer à mão. Por isso, mesmo os MSPs que veem claramente a oportunidade muitas vezes não a conseguem concretizar, porque o trabalho não escala com a equipa que têm.

Duas lacunas, então. As ferramentas não conseguem traduzir, e a equipa não consegue acompanhar. Juntas, explicam porque é que tantos MSPs competentes estão presos a entregar um trabalho técnico excelente a um comprador que discretamente saiu da sala.

## A conformidade não é um custo. É a tua maior oportunidade de margem numa década.

A maior parte do mercado trata a NIS2, a DORA e as restantes como um fardo. Um custo. Uma obrigação de “marcar a caixa” que alguém, algures, tem de absorver. Este enquadramento é compreensível, e é também por isso que a oportunidade está a ser deixada em cima da mesa.

Inverte o enquadramento. Cada regulamento que cai sobre o teu cliente é uma razão para ele precisar de um parceiro que o consiga traduzir em algo sobre o qual a administração possa agir. Isso não é um custo para ti. É uma linha de serviço. E acumula-se em vários fluxos de margem ao mesmo tempo.

Há receita recorrente da plataforma que torna possível a prova contínua, vendida com margem incorporada e a crescer à medida que o ambiente do cliente cresce. Há uma nova camada de serviços de consultoria faturados a preços de consultoria, e não a preços de engenharia: relatórios trimestrais à administração, avaliações de preparação para a NIS2, apoio com questionários a fornecedores, preparação de auditorias. Há retenção, porque assim que passas a ser o parceiro que produz o dashboard em que a administração confia, ficas estruturalmente integrado e muito difícil de substituir. E há novo negócio, porque o MSP que consegue entrar num potencial cliente e abrir com a conversa da conformidade entra a um nível em que o preço não é a primeira pergunta.

Muitos fornecedores naquele evento falaram de funcionalidades. A conversa que realmente importa ao dono de um MSP é sobre margem, diferenciação, relações com os clientes e valor de negócio a longo prazo. A conformidade, reenquadrada, é onde vivem estas quatro coisas.

## Como é que constróis isto nos primeiros noventa dias?

Esta era a pergunta do distribuidor, e merece uma resposta concreta e não um slogan.

Não comeces com um grande programa de transformação. Começa com um punhado de clientes existentes onde já conheces o ambiente e a relação é boa. Produz uma coisa que nunca tiveram antes: uma visão única, legível pela administração, de onde estão face aos frameworks que se lhes aplicam, com os riscos mais importantes priorizados e um plano para os resolver. Esse artefacto, aquilo que a administração consegue efetivamente ler, é o que transforma uma relação técnica numa relação de consultoria.

Depois deixa o calendário fazer a venda. A maioria dos teus clientes tem uma renovação de ciberseguro a caminho, e a comunidade de corretores é clara ao dizer que a preparação deve começar cerca de noventa dias antes da renovação. Muitos deles têm um questionário a fornecedores parado numa caixa de entrada que ninguém sabe responder de forma eficiente. Cada uma destas situações é uma razão natural e com prazo definido para o cliente dizer sim agora e não mais tarde. Não estás a inventar procura. Estás a cumprir um prazo que o cliente já tem, com um serviço que ele não sabia que lhe podias oferecer.

Constrói o serviço recorrente em torno desse ritmo: monitorização contínua por baixo, um relatório periódico à administração por cima, horas de consultoria quando algo precisa de ser interpretado ou remediado. Noventa dias chegam para provar o modelo com algumas contas. Não chegam para o alargar a toda a tua base, e não deves tentar fazê-lo.

## Nem todos os MSPs têm de se tornar uma empresa de consultoria

Para ser justo, este não é o único caminho viável. Alguns MSPs são operadores técnicos excecionais, sentem-se bem nesse papel, e vai continuar a existir procura real por pura entrega técnica. Se isso for uma escolha estratégica deliberada, feita de olhos abertos, é uma opção perfeitamente defensável.

O risco não está em escolher continuar técnico. O risco está em não escolher de todo, e descobrir daqui a dezoito meses que a relação de consultoria com os teus melhores clientes foi discretamente conquistada por outra pessoa. Um MSP concorrente que começou dois anos mais cedo. Um especialista de segurança regional que agora te tira as contas do mercado intermédio porque consegue responder à pergunta da sala de administração. Ou uma empresa de consultoria a descer no mercado, que não vai tocar no trabalho técnico mas que fica feliz por assumir a conversa com o CFO, e depois decidir qual o MSP que fica com a implementação, e em que termos.

## A escolha

Os teus clientes vão ter a conversa da resiliência e da conformidade. Essa parte já não depende de ti; os reguladores, as seguradoras e os seus próprios maiores clientes já a decidiram. A única questão em aberto é se vão ter essa conversa contigo, ou com outra pessoa.

Para ser transparente: a minha própria empresa, a Guardian360, é um independent software vendor neste espaço. Construímos o Lighthouse e vendemos apenas através de parceiros, nunca diretamente, por isso tenho um interesse claro em que os MSPs ganhem esta mudança. Mas o argumento mantém-se sem nós. Os MSPs que desaparecerem nos próximos anos não vão desaparecer porque a sua engenharia ficou aquém. Vão desaparecer porque um concorrente teve uma conversa que eles não conseguiram ter.

Por isso, vale a pena fazeres-te a pergunta com clareza. Estás no negócio das funcionalidades, ou estás no negócio de deixar os teus clientes satisfeitos? Um deles é fácil de copiar em três anos. O outro não é.