Cibersegurança sobe na agenda das PME em Portugal, mas pressão da IA expõe falhas

Lisboa, 19 de maio de 2026 – A cibersegurança é considerada uma das principais prioridades estratégicas para as PME em todo o mundo. No entanto, em Portugal, muitas organizações continuam expostas a ataques, apesar do aumento do investimento. É o que revela o novo estudo encomendado pela Sage, líder em tecnologia de contabilidade, finanças, recursos humanos e processamento salarial para PME.

O estudo, conduzido pela IDC e intitulado SMBs in the Age of AI: Navigating cyber complexity and building resilience (baseado num inquérito global a 2,210 PME, incluindo uma amostra dedicada de 100 empresas em Portugal), revela que o país apresenta um perfil de segurança menos maduro do que a média global, com níveis de incidentes mais elevados e interrupções significativas mais comuns.

Mais incidentes e um fosso na maturidade da gestão

O impacto do cibercrime é mais severo em Portugal do que no resto do mundo. Enquanto a nível global mais de metade das empresas (54%) não registou qualquer incidente no último ano, em Portugal esse número desce para os 43%. Consequentemente, as empresas portuguesas sofrem mais perturbações: 39% enfrentaram incidentes menores (mas resolvidos rapidamente) e 16% registaram incidentes que causaram disrupções significativas no negócio (contra apenas 11% da média global).

Os dados mostram que o grande desafio das empresas portuguesas está na execução e estrutura de gestão:

• Modelo de gestão de cibersegurança aquém do global - Portugal demonstra uma menor expressão nas abordagens proativas: apenas 24% das PME nacionais são proativas na sua gestão de segurança, face a 30% a nível global. O modelo mais comum em Portugal é o “Estruturado” (34%), empatando com a média global. Contudo, ainda há 23% de empresas portuguesas com uma abordagem puramente informal e 10% cujo modelo é inteiramente movido por crises.
• Medidas de topo em vigor com falhas - enquanto a nível global as empresas aplicam de forma mais robusta as defesas essenciais, Portugal fica consistentemente atrás. A segurança de email (65% em Portugal vs. 79% global), a manutenção preventiva, patching e backups (65% em Portugal vs. 71% global) e a proteção de endpoints (61% em Portugal vs. 67% global) registam taxas de adoção inferiores no mercado nacional.
• Dependência excessiva de certificações - o mercado português demonstra uma forte dependência de certificações independentes, procurando provas externas claras de confiança à medida que a adoção da IA cresce, em vez de construir práticas de segurança diárias mais consistentes.

IA acelera a pressão sobre uma segurança já fragilizada

A adoção da IA está a intensificar a pressão de cibersegurança sobre as PME portuguesas, com os níveis de preparação a revelarem-se ainda insuficientes face aos riscos emergentes.

No que toca ao nível atual de segurança das aplicações baseadas em IA, o cenário nacional concentra-se esmagadoramente nas fases inicias:

• Apenas 1% das PME em Portugal considera ter um nível de segurança totalmente “Maduro” nesta área (em comparação com 6% global).
• O nível de maturidade mais comum no país é o “Básico”, englobando 33% das PME portuguesas (face a 30% global). 19% admite mesmo não ter qualquer segurança implementada para aplicações de IA.

Os principais desafios na proteção das aplicações de IA em Portugal mostram que as empresas nacionais sofrem com as mesmas dores estruturais do mercado global:

• Falta de competências e especialização interna em segurança de IA (44% Portugal vs. 45% Global).
• Dificuldade em implementar uma segurança de dados forte (40% Portugal vs. 41% Global).
• Limitação de visibilidade sobre quais as ferramentas de IA que estão efetivamente a ser utilizadas na organização (34% Portugal vs. 36% que dizem não conseguir acompanhar o ritmo das ameaças emergentes globalmente).

Como resposta, as principais salvaguardas para os riscos e ameaças da IA que as empresas portuguesas estão a tentar priorizar alinham-se com as melhores práticas internacionais: a criação de uma política clara de utilização de IA (43%), o recurso a ferramentas de IA aprovadas e dotadas de controlos administrativos (34%) e a realização de testes antes do lançamento das ferramentas (33%).

Gustavo Zeidan, Chief Information Security Officer da Sage, afirma: “Muitas PME estão entusiasmadas com o potencial da IA, mas procuram formas simples e práticas de a adotar de forma segura, à medida que as ameaças se tornam mais sofisticadas. As empresas não devem ter de escolher entre inovação e segurança. Ao facilitarmos a implementação da cibersegurança através de produtos secure-by-design, orientações mais claras e colaboração entre a indústria e governos, podemos ajudar as PME a construir resiliência, a inovar com segurança e a crescer ao seu próprio ritmo.”

Joel Stradling, Senior Research Director, European Security na IDC, acrescenta: “O estudo sugere que muitas PME ainda acreditam que não são o alvo principal de ciberataques, apesar de as ameaças serem cada vez mais complexas e generalizadas. A IDC recomenda que as PME integrem a cibersegurança nas iniciativas de IA desde o início e adotem uma abordagem transversal a toda a organização para a ciber-resiliência. As empresas que fecharem o fosso entre as ambições de crescimento e a preparação tecnológica estarão na melhor posição para construir uma confiança digital de longo prazo com clientes, parceiros e investidores.”

Para mais informações sobre a investigação e abordagem da Sage à cibersegurança, por favor, visite o Trust and Security Hub da Sage