NIS2: a diretiva de cibersegurança da UE e o que significa para a sua empresa
A diretiva NIS2 estabelece deveres vinculativos de cibersegurança e notificação de incidentes para entidades essenciais e importantes em 18 setores — e obriga-as a controlar a segurança dos seus fornecedores. Quer esteja diretamente abrangido, quer sirva clientes que estão, colocamo-lo em conformidade dentro de um único sistema de gestão.
A quem se aplica a NIS2
A diretiva abrange 18 setores: energia, transportes, banca, saúde, infraestruturas digitais, serviços cloud e geridos, centros de dados, fornecedores digitais, entre outros. Se opera num destes setores na UE e ultrapassa o limiar de média empresa, está diretamente abrangido. Mesmo que não esteja, o artigo 21.º, n.º 2, alínea d) obriga as entidades NIS2 a gerir o risco da cadeia de abastecimento — pelo que os seus clientes têm de o avaliar e incluir requisitos no contrato.
Os Estados-Membros transpuseram a NIS2 para o direito nacional, com autoridades de supervisão e coimas até 10 milhões de EUR ou 2 % do volume de negócios mundial para as entidades essenciais.
As 10 medidas do artigo 21.º
- Análise de riscos e políticas de segurança dos sistemas de informação
- Tratamento de incidentes
- Continuidade de negócio, cópias de segurança, recuperação de desastres, gestão de crises
- Segurança da cadeia de abastecimento
- Segurança na aquisição, desenvolvimento e manutenção, tratamento de vulnerabilidades
- Avaliação da eficácia das medidas
- Ciber-higiene e formação
- Criptografia e encriptação
- Segurança dos recursos humanos, controlo de acessos, gestão de ativos
- Autenticação multifator e comunicações seguras
As dez medidas mapeiam diretamente para os controlos da ISO 27001:2022 e os critérios do SOC 2. Se já detém um deles, o dossiê NIS2 monta-se rapidamente.
Notificação de incidentes
A NIS2 introduz uma notificação em três fases: um alerta precoce no prazo de 24 horas, uma notificação do incidente no prazo de 72 horas e um relatório final no prazo de um mês. Os seus clientes que sejam entidades NIS2 vão transmitir-lhe estes prazos enquanto fornecedor. Construímos um procedimento capaz de os cumprir e testamo-lo com exercícios.
O que recebe
- Avaliação da aplicabilidade da NIS2 e do papel na cadeia de abastecimento
- Análise de lacunas face às 10 medidas do art. 21.º
- Mapeamento para ISO 27001 / SOC 2 (sem duplicação)
- Procedimentos de notificação de incidentes em 24/72 horas
- Programa de segurança da cadeia de abastecimento e avaliação de fornecedores
- Formação da liderança sobre a responsabilidade ao abrigo da NIS2
- Dossiê de conformidade para os questionários dos clientes