A Diretiva NIS2 (Diretiva (UE) 2022/2555) é a legislação revista da UE em matéria de cibersegurança. Substituiu a Diretiva NIS original e teve de ser transposta para o direito nacional até outubro de 2024, com os Estados-Membros a aplicá-la desde então segundo calendários diferentes. Ao contrário do RGPD, que trata de dados pessoais, a NIS2 trata da resiliência dos próprios serviços e coloca pela primeira vez uma grande parte do setor tecnológico (cloud, centros de dados, serviços geridos e grande parte do software B2B) sob obrigações vinculativas. Este artigo explica quem está abrangido, o que o artigo 21.º realmente exige, como funciona a notificação de incidentes, quais são as sanções e como o trabalho já feito em ISO 27001 e SOC 2 se articula com ela.
Quem está abrangido
A NIS2 aplica-se a entidades de 18 setores enumerados nos seus anexos, divididas em "essenciais" (Anexo I) e "importantes" (Anexo II). Para o setor tecnológico, as categorias relevantes são:
- Infraestruturas digitais (Anexo I): prestadores de serviços de computação em nuvem, prestadores de serviços de centros de dados, redes de distribuição de conteúdos, prestadores de serviços DNS, registos de nomes de domínio de topo, prestadores de serviços de confiança, redes de comunicações eletrónicas.
- Gestão de serviços TIC B2B (Anexo I): prestadores de serviços geridos (MSP) e prestadores de serviços de segurança geridos (MSSP).
- Prestadores de serviços digitais (Anexo II): mercados em linha, motores de pesquisa em linha, plataformas de redes sociais.
- Indústria transformadora, finanças, saúde, energia, transportes e outros setores de que pode ser fornecedor, o que é relevante para as cláusulas de cadeia de fornecimento abaixo.
O limiar de dimensão é o filtro principal. Em geral, as médias e grandes empresas (50 ou mais trabalhadores ou mais de EUR 10 milhões de volume de negócios) destes setores estão abrangidas; as grandes dos setores do Anexo I são "essenciais", as restantes "importantes". Algumas categorias, incluindo DNS, registos de domínios de topo, prestadores de serviços de confiança e certos prestadores de cloud e de comunicações eletrónicas, estão abrangidas independentemente da dimensão. As entidades fora da UE que ofereçam serviços abrangidos dentro da União têm de designar um representante na UE e ficam igualmente sujeitas às regras.
Uma empresa SaaS B2B típica não é mencionada explicitamente. Na prática, é apanhada de uma de três formas: qualifica-se como prestador de serviços de computação em nuvem; qualifica-se como prestador de serviços geridos; ou, mais frequentemente, é fornecedora de um cliente abrangido, que tem de gerir o risco da cadeia de fornecimento nos termos do artigo 21.º, n.º 2, alínea d), e transfere requisitos alinhados com a NIS2 para os contratos. Muitos fornecedores de software deparam-se pela primeira vez com a NIS2 como uma cláusula no modelo de contratação de um banco ou de um hospital.
| Categoria | Exemplos | Regra de dimensão | Supervisão |
|---|---|---|---|
| Essenciais (Anexo I) | Cloud, centros de dados, MSP/MSSP, DNS, serviços de confiança | Grandes; algumas independentemente da dimensão | Proativa: auditorias, inspeções |
| Importantes (Anexo II) | Mercados em linha, pesquisa, plataformas sociais, indústria, serviços postais | Médias e grandes | Reativa: após incidentes ou queixas |
| Fornecedor de uma entidade abrangida | A maioria dos fornecedores de software B2B | Sem limiar direto | Contratual, através do cliente |
As dez medidas do artigo 21.º
O artigo 21.º exige "medidas técnicas, operacionais e organizativas adequadas e proporcionadas", baseadas numa abordagem multirriscos. Enumera depois um mínimo de dez áreas que todas as entidades abrangidas têm de cobrir:
- Análise de riscos e políticas de segurança dos sistemas de informação. Uma metodologia documentada de avaliação de riscos e uma política de segurança global aprovada pela gestão.
- Tratamento de incidentes. Deteção, análise, contenção, recuperação e lições aprendidas, com funções definidas.
- Continuidade das atividades. Gestão de cópias de segurança, recuperação de desastres e gestão de crises, testadas regularmente.
- Segurança da cadeia de fornecimento. Avaliação dos fornecedores diretos e prestadores de serviços, incluindo a segurança dos seus produtos e práticas de desenvolvimento.
- Segurança na aquisição, desenvolvimento e manutenção dos sistemas, incluindo o tratamento e a divulgação de vulnerabilidades.
- Políticas e procedimentos para avaliar a eficácia das medidas: auditorias internas, métricas, revisão pela gestão.
- Práticas básicas de ciber-higiene e formação para todos os colaboradores, incluindo a gestão.
- Criptografia e, quando adequado, políticas de cifragem.
- Segurança dos recursos humanos, controlo de acessos e gestão de ativos. Triagem, processos de entrada/mudança/saída, privilégio mínimo, inventários.
- Autenticação multifator ou contínua, comunicações de voz, vídeo e texto protegidas, e comunicações de emergência protegidas.
A diretiva torna também a gestão pessoalmente responsável (artigo 20.º): os membros dos órgãos de direção têm de aprovar as medidas, supervisionar a sua implementação, frequentar formação em cibersegurança e podem ser responsabilizados por infrações. Para os prestadores de cloud e MSP, o Regulamento de Execução (UE) 2024/2690 da Comissão detalha estas medidas de forma consideravelmente mais pormenorizada, com requisitos específicos para registo de eventos, segurança de rede, prazos de aplicação de patches e contratos com fornecedores.
Notificação de incidentes: 24 horas, 72 horas, um mês
O artigo 23.º introduz um regime de notificação faseado para "incidentes significativos" (os que causam, ou são suscetíveis de causar, perturbações operacionais graves ou perdas financeiras, ou danos consideráveis a terceiros):
| Prazo | O quê | Conteúdo |
|---|---|---|
| No prazo de 24 horas | Alerta rápido | Se há suspeita de que o incidente é malicioso e se pode ter impacto transfronteiriço |
| No prazo de 72 horas | Notificação do incidente | Avaliação inicial da gravidade, do impacto e dos indicadores de comprometimento |
| A pedido | Relatório intercalar | Atualizações de estado enquanto o incidente decorre |
| No prazo de 1 mês | Relatório final | Descrição detalhada, causa raiz, mitigação, impacto transfronteiriço |
As notificações são dirigidas ao CSIRT nacional ou à autoridade competente. Os prestadores de serviços têm também de notificar os clientes afetados, quando relevante. Note a interação com o RGPD: um único incidente pode desencadear um alerta rápido NIS2 em 24 horas e uma notificação de violação de dados à autoridade de controlo em 72 horas nos termos do RGPD, pelo que o plano de resposta a incidentes tem de gerir ambos os relógios.
Coimas e aplicação
As sanções estão fixadas ao nível de gravidade do RGPD:
- Entidades essenciais: coimas administrativas até EUR 10 milhões ou 2% do volume de negócios anual global, consoante o valor mais elevado.
- Entidades importantes: até EUR 7 milhões ou 1,4% do volume de negócios anual global.
- Medidas não financeiras: instruções vinculativas, ordens de cessação de conduta, auditorias obrigatórias, divulgação pública das infrações e, para as entidades essenciais, a suspensão temporária de certificações ou do exercício de funções de direção pelos gestores.
As entidades têm também de se registar junto da autoridade nacional; na maioria dos Estados-Membros, esse prazo de registo já passou e as primeiras auditorias de supervisão a prestadores de cloud e MSP estão em curso.
Como a ISO 27001 se articula com a NIS2
A boa notícia para as empresas que já operam um SGSI: a NIS2 foi escrita tendo a ISO 27001 em vista, e a maioria das orientações nacionais aponta explicitamente para ela. A correspondência é próxima:
- O artigo 21.º, n.º 2, alínea a), análise de riscos e políticas, corresponde às cláusulas 5 e 6 da ISO 27001 e ao processo de avaliação de riscos.
- Tratamento de incidentes, continuidade, segurança dos fornecedores, desenvolvimento seguro, criptografia, segurança dos recursos humanos, controlo de acessos e gestão de ativos têm, cada um, uma contrapartida direta nos temas de controlo do Anexo A da ISO 27001:2022.
- A avaliação da eficácia corresponde às cláusulas 9 e 10: monitorização, auditoria interna, revisão pela gestão, melhoria contínua.
- A responsabilização da gestão corresponde aos requisitos de liderança da cláusula 5, embora a NIS2 vá mais longe com a responsabilidade pessoal e a formação obrigatória.
O que a ISO 27001 não lhe dá automaticamente: o fluxo legal de notificação em 24/72 horas, o registo junto da autoridade, as cláusulas contratuais específicas para fornecedores e as bases técnicas detalhadas do regulamento de execução para os prestadores de cloud. Estes elementos são acrescentados como uma camada sobre o SGSI. Um certificado ISO 27001 emitido por um organismo de certificação acreditado é também a evidência mais amplamente aceite por uma autoridade ou um cliente de que as medidas do artigo 21.º estão implementadas. O organismo de certificação acreditado do grupo BALTUM emite certificados ISO 27001; a equipa de consultoria prepara o SGSI já com a camada NIS2 integrada.
Como o SOC 2 se articula com a NIS2
O SOC 2 é um relatório de atestação norte-americano e não um certificado europeu, mas os seus Trust Services Criteria cobrem grande parte do mesmo terreno: avaliação de riscos (CC3), monitorização (CC4), acesso lógico e MFA (CC6), operações do sistema e resposta a incidentes (CC7), gestão de alterações (CC8), risco de fornecedores e continuidade do negócio (CC9), além do critério Disponibilidade para a resiliência. Um relatório SOC 2 Type 2 é, por isso, uma evidência útil para um cliente abrangido que faça a due diligence da cadeia de fornecimento nos termos do artigo 21.º, n.º 2, alínea d), sobretudo se o cliente também tiver operações nos EUA. Por si só, não satisfaz a NIS2 para uma entidade diretamente abrangida; não tem notificação legal, nem registo, nem o elemento de responsabilidade da gestão. A abordagem prática para um fornecedor europeu de cloud ou software que vende para os EUA é um único conjunto de controlos que suporte simultaneamente a certificação ISO 27001, a atestação SOC 2 e a conformidade com a NIS2. Veja SOC 2 vs ISO 27001 para perceber em que diferem os dois referenciais.
Um roteiro prático
- Definição do âmbito. Determine se é entidade essencial, importante, fora do âmbito direto mas fornecedora, ou prestador fora da UE com necessidade de representante. Verifique a transposição nacional em cada Estado-Membro onde opera.
- Análise de lacunas face às dez medidas do artigo 21.º e, para prestadores de cloud e MSP, ao regulamento de execução.
- Governação. Aprovação das medidas pela gestão, formação do órgão de direção, funções responsáveis nomeadas.
- Implementação dos controlos no SGSI: playbooks de incidentes com os relógios de 24/72 horas, avaliação de fornecedores, desenvolvimento seguro, MFA, registo de eventos, testes de continuidade.
- Registo e prontidão para notificação junto da autoridade nacional e do CSIRT.
- Garantia. Certificação ISO 27001 e, quando os clientes norte-americanos o exigirem, SOC 2, como prova externa de que as medidas funcionam.
Como a BALTUM ajuda
A nossa equipa de consultoria sediada na UE realiza a definição do âmbito e a análise de lacunas NIS2, constrói ou alarga o seu SGSI com a camada do artigo 21.º e prepara os procedimentos de notificação. A certificação ISO 27001 é depois realizada pelo organismo de certificação acreditado do grupo BALTUM, e os relatórios SOC 2 pela firma de CPA do grupo registada nos EUA, cada um com equipas separadas para preservar a independência. Para as empresas que precisam de tudo ao mesmo tempo, veja o pacote SOC 2 + ISO 27001 + RGPD + Cyber Essentials + NIS2; os detalhes do serviço autónomo estão na página conformidade NIS2.
Não sabe se a NIS2 se aplica à sua empresa, ou um cliente acabou de lhe enviar um questionário de fornecedor NIS2? Diga-nos o que fornece e a quem, e determinaremos o seu estatuto, listaremos as lacunas e proporemos um plano. Peça uma consulta.