A parte do orçamento de TI nas despesas globais das empresas francesas aumenta a cada ano, mas os resultados nem sempre acompanham. Entre parques de máquinas envelhecidos, contratos de manutenção mal calibrados e uma regulamentação europeia que endurece suas exigências em cibersegurança, o simples fato de “fazer a TI funcionar” já não é suficiente. O assunto não é mais técnico: é estrutural.
Ato de Resiliência Cibernética: a nova obrigação regulatória que muda o jogo para os serviços de TI
O Ato de Resiliência Cibernética (regulamento UE 2024/2847), que entrou em vigor em 10 de dezembro de 2024, impõe exigências de cibersegurança obrigatórias a todos os produtos que contêm elementos digitais vendidos na União Europeia. Hardware, software, objetos conectados: a cobertura é ampla.
A partir de 11 de setembro de 2026, os fabricantes devem relatar em até 24 horas qualquer vulnerabilidade ativamente explorada e qualquer incidente grave que afete a segurança de seus produtos. Esses relatórios são feitos por meio de plataformas centralizadas geridas pela ENISA e pelos CSIRT nacionais.
Para uma empresa que terceiriza total ou parcialmente seus serviços de TI, este regulamento tem consequências diretas. O prestador de TI se torna um elo da cadeia de conformidade. Um software empresarial implantado sem acompanhamento das vulnerabilidades expõe a empresa cliente a um risco regulatório, não apenas técnico.
Os contratos de terceirização assinados antes desse prazo merecem uma reavaliação cuidadosa. A gestão de vulnerabilidades e a notificação de incidentes devem estar explicitamente mencionadas, sob pena de se encontrar com um prestador que não tem nenhuma obrigação contratual de relatar uma falha explorada em uma ferramenta que ele administra. Entre os serviços de TI da Digiterio, essa dimensão regulatória faz parte dos eixos de trabalho estruturantes para as empresas que desejam alinhar seu SI às novas obrigações europeias.
Terceirização e externalização de TI: o que os contratos nem sempre dizem
Externalizar a gestão de sua TI parece simples no papel. Um prestador assume a manutenção, o suporte técnico, às vezes a hospedagem na nuvem. Na prática, a qualidade do serviço depende do que está escrito (ou não) no contrato.
As zonas cinzentas contratuais a verificar
- A reversibilidade dos dados: em caso de mudança de prestador, em quanto tempo e em qual formato recupera-se os dados? Alguns contratos não especificam nada, o que cria uma dependência de fato.
- O escopo exato do suporte: um contrato de manutenção pode cobrir o hardware, mas excluir as atualizações de software críticas, ou incluir um número limitado de intervenções por mês sem que esse teto seja claramente anunciado.
- A localização dos dados hospedados: com o RGPD e as evoluções do Cloud Act americano, saber se os servidores estão na França, na UE ou em outro lugar não é um detalhe. Os feedbacks do campo divergem sobre a transparência real dos prestadores a esse respeito.
- Os compromissos de nível de serviço (SLA): uma taxa de disponibilidade anunciada em alta não vale nada sem penalidades contratuais em caso de descumprimento.
Um contrato de terceirização bem negociado protege tanto quanto um bom firewall. Um contrato vago expõe a empresa a custos ocultos e a uma perda de controle progressiva sobre seu próprio sistema de informação.
DSI internalizada ou prestador externo: decidir conforme o tamanho e os desafios
A questão volta sistematicamente: deve-se recrutar um responsável de TI internamente ou confiar a gestão a um prestador? A resposta depende menos do tamanho da empresa do que da criticidade do SI em sua atividade.
Uma PME cujo core business depende de uma aplicação web precisa mais de uma competência de TI internalizada do que um escritório de consultoria de 200 pessoas que utiliza apenas um pacote de escritório na nuvem. A criticidade do SI determina o modelo, não o número de funcionários.
O que a internalização traz (e o que custa)
Um DSI ou um responsável de TI interno conhece os processos de negócios, os usuários, as restrições específicas. Essa proximidade acelera a resolução de incidentes e permite antecipar as evoluções. Por outro lado, o custo salarial, a formação contínua e a vigilância tecnológica pesam sobre estruturas de tamanho modesto.
O que a externalização permite (e o que mascara)
Um prestador externo compartilha suas competências entre vários clientes. Geralmente, ele possui uma superfície técnica mais ampla (segurança, nuvem, rede). O risco: um conhecimento superficial do negócio do cliente e tempos de resposta que dependem da carga global do prestador. A externalização funciona quando o caderno de encargos é preciso e o acompanhamento é regular.
Automatização dos processos de TI: separar os ganhos reais do discurso de marketing
A automatização se tornou um argumento comercial onipresente nas ofertas de serviços de TI. Implantação automatizada de atualizações, gestão de tickets por inteligência artificial, provisionamento na nuvem em autoatendimento: as promessas são muitas.
Os ganhos reais existem, mas são condicionados. Automatizar um processo mal definido equivale a industrializar um disfuncionamento. Antes de implantar uma ferramenta de automatização, é necessário mapear os fluxos existentes, identificar as tarefas realmente repetitivas e medir o tempo efetivamente perdido.
Alguns casos em que a automatização produz resultados mensuráveis:
- A gestão dos direitos de acesso durante as chegadas e saídas de colaboradores, que muitas vezes leva várias horas em tratamento manual.
- A implantação de correções de segurança em um parque de estações, onde o intervalo entre a publicação de um patch e sua aplicação é um fator de risco direto.
- A supervisão proativa dos servidores e equipamentos de rede, que permite detectar uma anomalia antes que ela se torne uma falha.
Os dados disponíveis não permitem generalizar uma taxa de ganho de produtividade. Os resultados dependem do contexto técnico, da maturidade das equipes e da qualidade da integração. Um prestador que anuncia um percentual de redução de custos sem auditoria prévia merece uma certa cautela.
A escolha de um prestador de TI compromete a empresa por vários anos. Os critérios técnicos contam, mas a capacidade de acompanhar as evoluções regulatórias (como o Ato de Resiliência Cibernética), a transparência contratual e a qualidade do acompanhamento humano fazem a diferença entre um serviço que funciona e um serviço que protege.
