Não podes vender o que não construíste

Numa recente mesa-redonda do setor sobre o local de trabalho de 2030, Ewoud Melis, CEO da Trustteam, disse algo que a maioria dos MSP anda discretamente a evitar. Arruma primeiro os teus próprios dados. Otimiza os teus próprios fluxos de trabalho. Só depois vai ter com os teus clientes para a conversa sobre IA. Parece óbvio. Não é o que está a acontecer.

O comentário fez eco porque nomeou uma lacuna que o mercado anda ocupado a disfarçar. Os MSP por toda a Europa estão a vender implementações do Copilot, ferramentas de produtividade de IA e avaliações de preparação para IA a clientes, enquanto a sua própria postura de segurança, obrigações de conformidade e mecanismos de resiliência continuam a ser trabalhos em curso. Isso não é apenas um problema de credibilidade. É uma vulnerabilidade. E a NIS2 está prestes a torná-la uma responsabilidade legal.

A lacuna de credibilidade que ninguém está a contabilizar

Um estudo recente da AvePoint e da Omdia, com base em 333 MSP, concluiu que mais de metade dos inquiridos identificou as questões de governança e conformidade como o principal obstáculo que impede os seus clientes de adotarem IA. Não a segurança dos dados. Não a falta de competências. Não o retorno do investimento. Governança e conformidade. A ironia é que se pede ao MSP que resolva um problema que ainda não resolveu para si próprio.

O relatório da Omdia sobre as tendências dos MSP para 2026 é ainda mais direto: os MSP com mais sucesso implementam a IA internamente primeiro, para automatizar as operações do service desk, melhorar a gestão do conhecimento e reforçar as operações de segurança, antes de monetizarem serviços habilitados por IA para o exterior. Essa sequência não é um extra desejável. É a diferença entre um MSP que consegue demonstrar algo e um que só o consegue descrever.

O que torna esta lacuna perigosa é que os clientes estão a tornar-se mais sofisticados. Robin Ody, líder da área de análise de MSP na Omdia, disse-o com clareza: os MSP que adotam abordagens de solução de negócio e específicas por vertical estarão mais bem posicionados para captar esta procura. O inverso também é verdade. Os MSP que não conseguem demonstrar a sua própria postura de governança terão dificuldade em sustentar essa conversa ao nível do conselho de administração, onde ela precisa cada vez mais de acontecer.

«Weerbaarheid» e «veerkracht»: duas palavras que os MSP neerlandeses continuam a confundir

A conversa em língua neerlandesa neste mercado confunde muitas vezes dois conceitos que merecem ser mantidos separados. Weerbaarheid, ou resiliência no sentido de robustez, é sobre impedir que os incidentes ocorram, para começar. Controlos de acesso fortes, análise contínua de vulnerabilidades, disciplinas de patching, configurações reforçadas. Veerkracht, mais próximo de capacidade de recuperação, é sobre o que acontece depois de algo correr mal. Resposta a incidentes, continuidade de negócio, integridade das cópias de segurança, a capacidade de restaurar operações rapidamente.

Ambos importam. Mas exigem investimentos diferentes, perguntas diferentes e conversas diferentes com os clientes. Um MSP que não fez essa distinção internamente vai confundi-los também nas conversas com clientes, e essa confusão tende a produzir organizações que não são nem particularmente robustas nem particularmente boas a recuperar.

A NIS2 não os confunde. A diretiva exige explicitamente que as entidades abrangidas abordem tanto a gestão de risco como as medidas de resiliência, e impõe obrigações de reporte que pressupõem uma capacidade de resposta a incidentes em funcionamento. Para os MSP que operam nos Países Baixos, espera-se que a Cyberbeveiligingswet, a transposição neerlandesa da NIS2, entre em vigor no segundo trimestre de 2026, substituindo a atual Wbni. Isto já não é uma obrigação futura. Está a chegar agora.

O que a NIS2 exige, de facto, do próprio MSP

Há uma ideia errada persistente de que a NIS2 é sobretudo um problema do cliente, algo em que os MSP ajudam os seus clientes. Isso só é parcialmente verdade. Os próprios MSP estão no âmbito da NIS2 enquanto prestadores de serviços de TIC geridos, que consta explicitamente como uma categoria abrangida. A ENISA publicou orientações técnicas de implementação específicas para os MSP ao abrigo do Regulamento de Execução (UE) 2024/2690.

As obrigações não são abstratas. Incluem avaliações de risco regulares, controlos de acesso e de identidade, deteção e reporte de incidentes, medidas de segurança da cadeia de abastecimento e estruturas de governança com responsabilização explícita da gestão. Na Alemanha, onde a lei de transposição da NIS2 entrou em vigor a 5 de dezembro de 2025, os órgãos de gestão são pessoalmente responsáveis por falhas de conformidade. Espera-se que o número de entidades reguladas só na Alemanha aumente de cerca de 4500 para cerca de 29 000. A responsabilização ao nível do conselho de administração é a intenção em toda a UE, e não uma especificidade alemã.

Um MSP que aconselha clientes sobre a conformidade com a NIS2, enquanto as suas próprias obrigações ao abrigo da mesma diretiva permanecem por resolver, está numa posição que não se vai aguentar. Nem comercialmente, e cada vez menos juridicamente.

Porque a IA torna a lacuna perigosa, e não apenas embaraçosa

O contexto de ameaça mudou mais depressa do que a maioria dos referenciais de governança. Uma investigação da Flashpoint, publicada em março de 2026, concluiu que o cibercrime alimentado por IA disparou 1500% em 2025. Os atacantes estão a usar os mesmos grandes modelos de linguagem e ferramentas de automação que os MSP vendem aos clientes como potenciadores de produtividade. A Shadow AI, em que os colaboradores usam ferramentas de IA não validadas fora dos canais aprovados, está a emergir como um vetor primário de fuga de dados, segundo o relatório de tendências dos MSP da Omdia para 2026.

A consequência prática é esta. Um MSP que implementa ferramentas de IA num ambiente de cliente sem primeiro compreender a sua própria exposição a ameaças habilitadas por IA, e sem ter reforçado o seu próprio ambiente em conformidade, está a estender a sua superfície de ataque a cada cliente que toca. Os MSP são alvos de elevado valor precisamente por causa do seu acesso privilegiado. O adversário não precisa de comprometer cada cliente individualmente se o MSP for o ponto de acesso comum.

Weerbaarheid, neste contexto, significa compreender como são, de facto, os ataques habilitados por IA, monitorizar continuamente a tua própria infraestrutura em busca das vulnerabilidades que os permitem, e ser capaz de demonstrar essa monitorização a clientes e reguladores. Isso não é uma capacidade futura. É um requisito atual.

O que significa, de facto, liderar pelo exemplo?

Começa pelo próprio ambiente do MSP. Não um item de verificação de autoavaliação, mas um programa contínuo e mensurável. Isso significa análise diária da própria superfície de ataque do MSP, e não apenas dos ambientes dos clientes. Significa uma postura de conformidade documentada e testada face às normas que o MSP vende a outros, NIS2, ISO 27001, e quaisquer referenciais setoriais específicos aplicáveis à base de clientes do MSP. Significa ser capaz de mostrar a um cliente, de forma concreta e auditável, que o MSP percorreu o caminho que está a recomendar.

Na Guardian360, onde fundei a empresa em 2015, construímos o Lighthouse para dar aos MSP e aos seus clientes visibilidade contínua sobre a sua superfície de ataque e a sua postura de conformidade. Digo abertamente que temos um interesse comercial em que os MSP levem isto a sério. Mas o argumento não depende desse interesse. Depende do que o Ewoud disse naquela mesa-redonda, e do que os dados confirmam: a governança e a conformidade são o principal bloqueio à adoção de IA, e o MSP que não construiu isto internamente não o consegue vender com credibilidade para o exterior.

A pergunta que vale a pena ponderar

Se os teus clientes te pedissem hoje para abrires o teu próprio painel de conformidade e os guiares pela tua postura de segurança, o que é que lhes mostrarias? Não o que poderias mostrar-lhes daqui a seis meses com alguma preparação. O que poderias mostrar-lhes amanhã de manhã.

Essa resposta é a tua verdadeira proposta de valor.

Fontes

1. Estudo da AvePoint e da Omdia: “The MSP AI gap is about governance, not skills”. Channel Dive, abril de 2026. channeldive.com
2. Omdia “MSP Trends and Predictions 2026”, citado no blog da Acronis, fevereiro de 2026. acronis.com
3. Kennedy Van der Laan: “Cyber in 2026: NIS2 on the way”. Janeiro de 2026. kvdl.com
4. ENISA: “NIS2 Technical Implementation Guidance” (Regulamento de Execução (UE) 2024/2690). enisa.europa.eu
5. Investigação da Flashpoint citada no Channel Insider: “Managed Security Services Shift as AI Reshapes Risk”. Abril de 2026. channelinsider.com
6. Reed Smith: “EU Cybersecurity Regulatory Update for 2026 and Beyond”. Abril de 2026. reedsmith.com