Como criar políticas de cibersegurança NIS2 usando IA

Visão geral

Você aprenderá como usar IA para criar políticas abrangentes de cibersegurança para cada uma das dez áreas de medidas exigidas pelo Artigo 21(2) da NIS2. Este guia aborda cada tipo de política, fornece prompts específicos do ISMS Copilot para gerar cada uma, explica o que auditores e autoridades supervisoras esperam e mostra como estruturar sua documentação de políticas para estar pronto para auditorias.

Para quem é este guia

Este guia é para:

• CISOs e responsáveis pela conformidade encarregados de desenvolver documentação de políticas compatíveis com a NIS2
• Consultores de segurança que elaboram conjuntos de políticas para clientes em setores regulados pela NIS2
• Equipes de GRC que gerenciam a criação de políticas juntamente com a documentação existente da ISO 27001, DORA ou GDPR
• Gestores de TI que precisam de políticas práticas e implementáveis, em vez de modelos genéricos
• Membros do órgão de gestão que devem aprovar essas políticas conforme o Artigo 20

Antes de começar

Você precisará de:

• Uma conta no ISMS Copilot (teste gratuito disponível)
• Os resultados da sua análise de lacunas da NIS2 identificando quais políticas estão ausentes ou insuficientes -- veja Como Começar a Implementação da NIS2 Usando IA
• Sua avaliação de riscos e planos de tratamento de riscos concluídos -- veja Como Realizar Avaliação de Riscos da NIS2 Usando IA
• Compreensão do tamanho, setor e contexto operacional da sua organização
• Políticas existentes (se houver) para upload e análise de lacunas e alinhamento

Entendendo os requisitos de políticas da NIS2

O que o Artigo 21(2) exige

O Artigo 21(2) determina que as medidas de gestão de riscos referidas no parágrafo 1 devem incluir pelo menos o seguinte:

Artigo 21(2) reference

Measure area

Policy documents needed

(a)

Políticas de análise de risco e segurança de sistemas de informação

Política de Segurança da Informação, Política de Avaliação de Riscos

(b)

Tratamento de incidentes

Política de Resposta a Incidentes, Procedimento de Classificação de Incidentes

(c)

Continuidade de negócios, gestão de backups, recuperação de desastres, gestão de crises

Política de Continuidade de Negócios, Plano de Recuperação de Desastres, Política de Backups, Plano de Gestão de Crises

(d)

Segurança da cadeia de suprimentos

Política de Segurança da Cadeia de Suprimentos, Procedimento de Avaliação de Fornecedores

(e)

Segurança na aquisição, desenvolvimento e manutenção de redes e sistemas de informação; tratamento e divulgação de vulnerabilidades

Política de Desenvolvimento Seguro, Política de Gestão de Vulnerabilidades

(f)

Políticas e procedimentos para avaliar a eficácia das medidas de gestão de riscos

Política de Testes e Avaliação de Segurança, Procedimento de Auditoria Interna

(g)

Práticas básicas de ciberhigiene e treinamento em cibersegurança

Política de Ciberhigiene e Conscientização, Programa de Treinamento

(h)

Políticas e procedimentos relativos à criptografia e encriptação

Política de Criptografia e Encriptação

(i)

Segurança de recursos humanos, políticas de controle de acesso e gestão de ativos

Política de Segurança de RH, Política de Controle de Acesso, Política de Gestão de Ativos

(j)

Autenticação multifator ou autenticação contínua, comunicações seguras de voz/vídeo/texto, comunicações de emergência seguras

Política de Autenticação, Política de Comunicações Seguras

Padrões de qualidade de políticas para a NIS2

Cada documento de política deve incluir:

• Propósito e escopo: O que a política abrange e a quem se aplica
• Referência à NIS2: Quais áreas de medidas do Artigo 21(2) a política aborda
• Definições: Termos-chave usados em todo o documento
• Declarações de política: Requisitos claros e aplicáveis
• Papéis e responsabilidades: Quem é responsável pelo quê
• Requisitos de implementação: Controles e medidas específicas
• Monitoramento e revisão: Como a eficácia é avaliada
• Consequências de não conformidade: Disposições de aplicação
• Aprovação e controle de versão: Gestão de documentos com assinatura do órgão de gestão

Passo 1: Gerar a Política de Segurança da Informação abrangente

Artigo 21(2)(a) -- Análise de risco e segurança de sistemas de informação

A Política de Segurança da Informação abrangente é o documento fundamental que estabelece o compromisso da sua organização com a cibersegurança e fornece a estrutura para todas as outras políticas. Esta aborda a primeira área de medidas e conecta todas as políticas subsequentes.

1. Gerar a política principal:

   "Crie uma Política de Segurança da Informação abrangente alinhada com o Artigo 21(2)(a) da NIS2 para uma organização do [setor] classificada como entidade [essencial/importante] com [número de funcionários] funcionários. A política deve abranger: propósito da política e contexto regulatório da NIS2, escopo dos sistemas de rede e informação cobertos, compromisso e obrigações de supervisão do órgão de gestão conforme o Artigo 20, visão geral da estrutura de gestão de riscos, princípios de segurança (confidencialidade, integridade, disponibilidade), referência às dez áreas de medidas do Artigo 21 e políticas de suporte, papéis e responsabilidades (órgão de gestão, CISO, proprietários de riscos, todos os funcionários), requisitos de conformidade e consequências de não conformidade, ciclo de revisão e melhoria contínua. Inclua seção de controle de documentos com aprovação pelo órgão de gestão."

2. Gerar a Política de Avaliação de Riscos de suporte:

   "Crie uma Política de Avaliação de Riscos alinhada com o Artigo 21(2)(a) da NIS2 para nossa organização. Aborde: metodologia de avaliação de riscos (abordagem de todos os perigos conforme o Artigo 21(1)), processos de identificação, análise e avaliação de riscos, critérios de aceitação de riscos e autoridade de aprovação, opções de tratamento de riscos e requisitos de documentação, integração com a gestão de ativos e inteligência de ameaças, frequência de revisão e eventos desencadeadores de reavaliação, e requisitos de aprovação pelo órgão de gestão. Faça referência cruzada ao nosso documento de Metodologia de Avaliação de Riscos."

Passo 2: Gerar a Política de Tratamento de Incidentes

Artigo 21(2)(b) -- Tratamento de incidentes

A NIS2 impõe requisitos rigorosos de tratamento de incidentes, incluindo detecção, prevenção, resposta e recuperação, além dos prazos de notificação do Artigo 23. Sua política deve abordar tanto a resposta interna quanto as obrigações de notificação externa.

1. Gerar a Política de Resposta a Incidentes:

   "Crie uma Política de Resposta a Incidentes alinhada com o Artigo 21(2)(b) e os requisitos de notificação do Artigo 23 da NIS2 para nossa organização do [setor]. Inclua: definição de incidente e critérios de classificação alinhados com os limiares de significância da NIS2, requisitos de detecção e monitoramento de incidentes, fases de resposta a incidentes (preparação, identificação, contenção, erradicação, recuperação, lições aprendidas), obrigações de notificação da NIS2 -- aviso prévio de 24 horas ao CSIRT, notificação de incidente de 72 horas com indicadores de comprometimento, relatório final de um mês com análise de causa raiz, matriz de escalonamento da equipe operacional para o órgão de gestão, papéis e responsabilidades (gerente de incidentes, equipe de resposta, ligação com o CSIRT, jurídico, comunicações), preservação de evidências e cadeia de custódia, notificação voluntária de quase-acidentes e ameaças, e processo de revisão pós-incidente."

2. Gerar o Procedimento de Classificação de Incidentes:

   "Crie um Procedimento Detalhado de Classificação de Incidentes para conformidade com a NIS2. Inclua: critérios de classificação para determinar se um incidente é 'significativo' conforme o Artigo 23(3) da NIS2 -- considerando (a) interrupção operacional severa ou perda financeira, (b) impacto em outras pessoas naturais ou jurídicas causando danos materiais ou não materiais consideráveis. Forneça uma matriz de classificação com níveis de severidade, critérios de avaliação de impacto e árvores de decisão claras para quando acionar a notificação de aviso prévio de 24 horas. Inclua exemplos específicos para nosso setor [setor]."

Passo 3: Gerar Políticas de Continuidade de Negócios e Recuperação de Desastres

Artigo 21(2)(c) -- Continuidade de negócios, gestão de backups, recuperação de desastres, gestão de crises

Esta área de medidas exige um conjunto abrangente de documentos que abordem como sua organização mantém e restaura serviços durante e após interrupções.

1. Gerar a Política de Continuidade de Negócios:

   "Crie uma Política de Continuidade de Negócios alinhada com o Artigo 21(2)(c) da NIS2 para uma entidade [essencial/importante] do [setor]. Inclua: metodologia de análise de impacto nos negócios e requisitos, objetivos de tempo de recuperação (RTO) e objetivos de ponto de recuperação (RPO) para serviços essenciais/importantes, critérios e procedimentos de ativação do plano de continuidade de negócios, governança de gestão de crises e escalonamento, protocolos de comunicação durante interrupções (internos, externos, autoridades, mídia), integração com a notificação de incidentes da NIS2 (acionando aviso prévio de 24h durante grandes interrupções), requisitos de testes e exercícios (mínimo anual), considerações de continuidade da cadeia de suprimentos e obrigações de supervisão do órgão de gestão."

2. Gerar o Plano de Recuperação de Desastres:

   "Crie um modelo de Plano de Recuperação de Desastres alinhado com o Artigo 21(2)(c) da NIS2 para nossa infraestrutura de TI. Aborde: cenários de desastre específicos para nosso [setor] (ransomware, falha no data center, interrupção do provedor de nuvem, desastre natural), estratégia de recuperação por nível de criticidade do sistema, procedimentos detalhados de recuperação para sistemas críticos (passo a passo), procedimentos de failover e fallback, restauração de dados a partir de backups, protocolos de comunicação e coordenação, cronograma de testes de recuperação e requisitos de documentação, e dependências de fornecedores e serviços de terceiros."

3. Gerar a Política de Gestão de Backups:

   "Crie uma Política de Gestão de Backups alinhada com o Artigo 21(2)(c) da NIS2. Aborde: escopo dos backups (todos os sistemas, dados e configurações críticos), frequência dos backups por classificação de dados e requisitos de RPO, métodos de backup (completo, incremental, diferencial), requisitos de backups offline e com air-gap (resiliência a ransomware), criptografia e controle de acesso dos backups, locais de armazenamento de backups (on-site, off-site, nuvem) com considerações geográficas, cronograma de testes de restauração e critérios de sucesso, monitoramento e alertas de backups, períodos de retenção e papéis e responsabilidades."

4. Gerar o Plano de Gestão de Crises:

   "Crie um Plano de Gestão de Crises alinhado com o Artigo 21(2)(c) da NIS2 para nossa organização. Aborde: definição de crise e critérios de ativação, composição da equipe de gestão de crises e informações de contato, autoridade de decisão durante a crise, protocolos de comunicação interna e externa, coordenação com o CSIRT nacional e a autoridade competente, diretrizes de comunicação com a mídia e o público, procedimentos de escalonamento e desescalonamento de crises, processo de revisão pós-crise e lições aprendidas, e integração com os prazos de notificação de incidentes da NIS2."

Passo 4: Gerar a Política de Segurança da Cadeia de Suprimentos

Artigo 21(2)(d) -- Segurança da cadeia de suprimentos

A NIS2 enfatiza significativamente a segurança da cadeia de suprimentos. Sua política deve abordar aspectos de segurança das relações com fornecedores diretos e prestadores de serviços.

1. Gerar a Política de Segurança da Cadeia de Suprimentos:

   "Crie uma Política de Segurança da Cadeia de Suprimentos alinhada com o Artigo 21(2)(d) da NIS2 para nossa organização do [setor]. Inclua: metodologia e critérios de avaliação de riscos de fornecedores, requisitos de segurança para diferentes níveis de risco de fornecedores, requisitos de due diligence de segurança pré-contratuais, cláusulas de segurança obrigatórias para contratos (direitos de auditoria, notificação de incidentes, padrões de segurança, controles de subcontratados), cronograma de monitoramento e revisão contínua de fornecedores, gestão de vulnerabilidades em toda a cadeia de suprimentos, procedimentos para resposta a incidentes relacionados a fornecedores, requisitos de saída e transição de fornecedores, e coordenação com avaliações de risco da cadeia de suprimentos específicas do setor. Faça referência ao guia de segurança da cadeia de suprimentos da ENISA."

Passo 5: Gerar Políticas de Segurança de Rede e Gestão de Vulnerabilidades

Artigo 21(2)(e) -- Segurança na aquisição, desenvolvimento e manutenção; tratamento de vulnerabilidades

Esta área de medidas abrange a segurança das suas redes e sistemas de informação ao longo de todo o seu ciclo de vida, além da gestão e divulgação de vulnerabilidades.

1. Gerar a Política de Desenvolvimento e Aquisição Segura:

   "Crie uma Política de Desenvolvimento e Aquisição Segura alinhada com o Artigo 21(2)(e) da NIS2 para nossa organização. Aborde: requisitos de segurança em especificações de aquisição, avaliação de segurança de fornecedores antes da aquisição, requisitos do ciclo de vida de desenvolvimento de software seguro (SDLC), testes de segurança antes da implantação (revisão de código, SAST, DAST, teste de penetração), gestão de mudanças e avaliação de impacto na segurança, procedimentos de gestão de patches e atualizações, padrões de configuração segura e diretrizes de hardening, procedimentos de desativação e descarte seguro, e gestão de segurança de software de código aberto."

2. Gerar a Política de Gestão de Vulnerabilidades:

   "Crie uma Política de Gestão de Vulnerabilidades alinhada com o Artigo 21(2)(e) da NIS2 para nossa organização do [setor]. Aborde: fontes de identificação de vulnerabilidades (varredura, inteligência de ameaças, avisos de fornecedores, alertas do CERT), escopo e frequência de varredura de vulnerabilidades (semanal para sistemas críticos, mensal para outros), classificação e priorização de vulnerabilidades (pontuação CVSS, exploitabilidade, contexto de negócios), prazos de remediação por severidade (crítica: 24-72 horas, alta: 7 dias, média: 30 dias, baixa: 90 dias), processo de exceções e aceitação de riscos para correção atrasada, política de divulgação coordenada de vulnerabilidades (CVD), relatórios de vulnerabilidades por funcionários e pesquisadores externos, procedimentos de correção de emergência, e considerações específicas de gestão de vulnerabilidades para OT/ICS no [setor]."

Passo 6: Gerar a Política de Avaliação de Eficácia

Artigo 21(2)(f) -- Políticas e procedimentos para avaliar a eficácia

A NIS2 exige que você avalie regularmente se suas medidas de cibersegurança estão realmente funcionando. Isso vai além de apenas ter controles implementados -- você deve testar e verificar sua eficácia.

1. Gerar a Política de Testes e Avaliação de Segurança:

   "Crie uma Política de Testes e Avaliação de Eficácia alinhada com o Artigo 21(2)(f) da NIS2 para nossa entidade [essencial/importante]. Aborde: tipos de avaliações de eficácia (avaliações de vulnerabilidades, testes de penetração, exercícios de red team, exercícios de mesa, testes de controle), escopo e frequência de avaliação (teste abrangente anual mínimo, trimestral para áreas de alto risco), requisitos de testes internos vs externos, metodologia e padrões de testes (OWASP, PTES, NIST SP 800-115), métricas e KPIs para medir a eficácia da cibersegurança, relatórios de resultados de avaliação para o órgão de gestão, acompanhamento de ações corretivas e verificação de remediação, integração com atualizações de avaliação de riscos e requisitos de monitoramento contínuo."

2. Gerar o Procedimento de Auditoria Interna de Cibersegurança:

   "Crie um Procedimento de Auditoria Interna de Cibersegurança para conformidade com a NIS2. Aborde: escopo da auditoria cobrindo todas as dez áreas de medidas do Artigo 21(2), planejamento e agendamento de auditorias (ciclo anual), requisitos de independência e competência do auditor, metodologia de auditoria (revisão de documentos, entrevistas, testes técnicos, amostragem de evidências), formato de relatório de auditoria com achados categorizados por severidade, requisitos de resposta da gestão e ações corretivas, verificação de acompanhamento das ações corretivas e relatórios do órgão de gestão sobre os resultados da auditoria."

Passo 7: Gerar a Política de Ciberhigiene e Treinamento

Artigo 21(2)(g) -- Práticas básicas de ciberhigiene e treinamento em cibersegurança

O Artigo 20 da NIS2 exige especificamente que os membros do órgão de gestão sigam treinamento em cibersegurança e que as entidades incentivem todos os funcionários a participar de treinamentos regulares. O Artigo 21(2)(g) estende isso às práticas básicas de ciberhigiene.

1. Gerar a Política de Ciberhigiene e Conscientização:

   "Crie uma Política de Treinamento de Ciberhigiene e Conscientização alinhada com o Artigo 21(2)(g) e os requisitos de treinamento do Artigo 20 da NIS2. Aborde: treinamento obrigatório em cibersegurança para membros do órgão de gestão (conteúdo, frequência, evidências), treinamento baseado em funções para todos os funcionários (TI/segurança, equipe geral, contratados), requisitos de indução de segurança para novos colaboradores, práticas básicas de ciberhigiene a serem adotadas em toda a organização (gestão de senhas, conscientização sobre phishing, mesa limpa, segurança de dispositivos, navegação segura, mídia removível), simulação de phishing e testes de engenharia social, medição e avaliação da eficácia do treinamento, atividades contínuas de conscientização (boletins informativos, alertas, campeões de segurança), conscientização de segurança específica do setor para operações do [setor], registros de treinamento e documentação de evidências, e plano anual de treinamento com calendário."

Passo 8: Gerar a Política de Criptografia e Encriptação

Artigo 21(2)(h) -- Criptografia e encriptação

A NIS2 exige políticas sobre o uso de criptografia e, quando apropriado, encriptação para proteger a confidencialidade e integridade dos dados.

1. Gerar a Política de Criptografia e Encriptação:

   "Crie uma Política de Criptografia e Encriptação alinhada com o Artigo 21(2)(h) da NIS2 para nossa organização do [setor]. Aborde: algoritmos criptográficos e comprimentos de chave aprovados (alinhados com as recomendações da ENISA e nacionais), requisitos de encriptação de dados por classificação (dados em repouso, dados em trânsito, dados em uso), padrões de configuração de TLS/SSL (mínimo TLS 1.2, preferencialmente TLS 1.3), encriptação de e-mail e assinaturas digitais, requisitos de encriptação de disco completo para endpoints e dispositivos móveis, padrões de encriptação de banco de dados, ciclo de vida de gestão de chaves criptográficas (geração, distribuição, armazenamento, rotação, revogação, destruição), uso de módulo de segurança de hardware (HSM) quando aplicável, gestão de certificados e governança de PKI, conscientização e planejamento de transição para criptografia pós-quântica, requisitos de criptografia específicos do setor para o [setor], e algoritmos e protocolos proibidos (MD5, SHA-1, DES, SSL 3.0, TLS 1.0/1.1)."

Passo 9: Gerar Políticas de Segurança de RH, Controle de Acesso e Gestão de Ativos

Artigo 21(2)(i) -- Segurança de recursos humanos, controle de acesso e gestão de ativos

Esta área de medidas combinada abrange três domínios inter-relacionados. Você deve criar políticas separadas para cada um para manter clareza e capacidade de gestão.

1. Gerar a Política de Segurança de Recursos Humanos:

   "Crie uma Política de Segurança de Recursos Humanos alinhada com o Artigo 21(2)(i) da NIS2 para nossa organização. Aborde: triagem de segurança pré-emprego (verificação de antecedentes, verificação de referências), termos de segurança em contratos de trabalho, conscientização sobre segurança durante a integração, responsabilidades de segurança durante o emprego, processo disciplinar para violações de segurança, procedimentos de término e mudança de função (revogação de acesso, devolução de ativos, transferência de conhecimento), requisitos de segurança para pessoal terceirizado e contratados, e acordos de confidencialidade e não divulgação."

2. Gerar a Política de Controle de Acesso:

   "Crie uma Política de Controle de Acesso alinhada com o Artigo 21(2)(i) da NIS2 para nossa organização do [setor]. Aborde: princípios de controle de acesso (privilégio mínimo, necessidade de saber, separação de funções), procedimentos de provisionamento e desprovisionamento de acesso de usuários, cronograma de revisão e recertificação de acesso (trimestral para acesso privilegiado, semestral para padrão), requisitos de gestão de acesso privilegiado (PAM), requisitos de segurança para acesso remoto, controles de acesso para terceiros e contratados, requisitos de registro e monitoramento de acesso, gestão de contas de serviço, implementação de controle de acesso baseado em funções (RBAC) e procedimentos de acesso de emergência."

3. Gerar a Política de Gestão de Ativos:

   "Crie uma Política de Gestão de Ativos alinhada com o Artigo 21(2)(i) da NIS2 para nossa organização. Aborde: requisitos de inventário de ativos (hardware, software, informações, serviços, pessoas), critérios de classificação de ativos e regras de manuseio, atribuições de propriedade e custódia de ativos, gestão do ciclo de vida dos ativos (aquisição, implantação, manutenção, descarte), uso aceitável de ativos, política de BYOD (traga seu próprio dispositivo), controles de mídia removível e procedimentos de descarte e destruição seguros."

Passo 10: Gerar a Política de Autenticação e Comunicações Seguras

Artigo 21(2)(j) -- MFA, autenticação contínua e comunicações seguras

A NIS2 menciona especificamente autenticação multifator, soluções de autenticação contínua, comunicações seguras de voz/vídeo/texto e sistemas de comunicação de emergência seguros.

1. Gerar a Política de Autenticação:

   "Crie uma Política de Autenticação alinhada com o Artigo 21(2)(j) da NIS2 para nossa entidade [essencial/importante]. Aborde: requisitos de autenticação multifator (MFA) -- obrigatória para todos os acessos remotos, contas privilegiadas, sistemas críticos e serviços em nuvem, métodos de MFA aprovados (tokens de hardware, aplicativos autenticadores, FIDO2) com preferência por métodos resistentes a phishing, considerações sobre autenticação contínua e acesso adaptativo, política de senhas (comprimento mínimo, complexidade, rotação, proibição de reutilização), diretrizes de implementação de single sign-on (SSO), autenticação serviço a serviço (chaves de API, certificados, contas de serviço), governança de autenticação biométrica, autenticação para ambientes OT/ICS quando aplicável, e registro e detecção de anomalias de autenticação."

2. Gerar a Política de Comunicações Seguras:

   "Crie uma Política de Comunicações Seguras alinhada com o Artigo 21(2)(j) da NIS2 para nossa organização. Aborde: requisitos de comunicações de voz seguras (VoIP criptografado, comunicações móveis seguras), padrões de videoconferência segura (plataformas aprovadas, requisitos de criptografia), comunicações de texto e mensagens seguras (plataformas de mensagens empresariais aprovadas, proibição de mensagens de consumo para dados sensíveis), segurança de e-mail (aplicação de TLS, S/MIME ou PGP para comunicações sensíveis), sistemas de comunicação de emergência seguros (canais de comunicação fora de banda para resposta a incidentes, ferramentas de comunicação de crise que funcionem quando os sistemas primários estiverem comprometidos), e controles de prevenção de perda de dados para canais de comunicação."

Passo 11: Revisar, alinhar e aprovar seu conjunto de políticas

Garantindo consistência em todas as políticas

Com todas as dez áreas de medidas cobertas, revise o conjunto completo de políticas quanto à consistência, referências cruzadas e completude.

1. Executar uma verificação de consistência:

   "Revise os seguintes documentos de políticas da NIS2 quanto à consistência. Verifique: (1) a terminologia é usada de forma consistente em todas as políticas, (2) os papéis e responsabilidades não entram em conflito, (3) as referências cruzadas entre as políticas estão corretas, (4) todas as dez áreas de medidas do Artigo 21(2) estão totalmente cobertas, (5) todas as políticas fazem referência à Política de Segurança da Informação abrangente, (6) os ciclos de revisão e os processos de aprovação são consistentes, (7) não existem lacunas entre as políticas onde um requisito possa passar despercebido."

2. Criar um índice do framework de políticas:

   "Crie um Índice do Framework de Políticas de Cibersegurança da NIS2 que mapeie: cada área de medidas do Artigo 21(2) para o(s) documento(s) de política que a aborda(m), o proprietário do documento, a autoridade de aprovação (órgão de gestão vs CISO), frequência de revisão, versão atual, data da última revisão e data da próxima revisão. Formate como uma tabela adequada para evidência de auditoria."

3. Preparar o pacote de aprovação do órgão de gestão:

   "Crie um pacote de aprovação do órgão de gestão para nosso conjunto de políticas de cibersegurança da NIS2. Inclua: resumo executivo de todas as políticas criadas, como elas abordam coletivamente os requisitos do Artigo 21(2), um resumo de uma página das principais disposições de cada política, as obrigações específicas de aprovação e supervisão do órgão de gestão conforme o Artigo 20, cronograma proposto de revisão e atualização, e um modelo de resolução do conselho para adoção formal das políticas."

Manutenção e atualização de suas políticas

Gestão do ciclo de vida das políticas

As políticas da NIS2 são documentos vivos que devem ser atualizados quando:

• Os resultados da avaliação de riscos mudam
• Incidentes revelam lacunas nas políticas
• Novas ameaças surgem que exigem controles atualizados
• Mudanças organizacionais afetam o escopo ou as responsabilidades
• As leis nacionais de transposição são atualizadas
• Mudanças tecnológicas exigem controles técnicos atualizados
• Avaliações de eficácia identificam áreas de melhoria

"Crie um Procedimento de Revisão e Atualização de Políticas para nosso conjunto de políticas da NIS2. Inclua: ciclo de revisão programada (mínimo anual para todas as políticas), eventos desencadeadores para revisões não programadas, processo de revisão (revisão de conteúdo, consulta a partes interessadas, aprovação pelo órgão de gestão), procedimentos de controle de versão e rastreamento de mudanças, comunicação de atualizações de políticas para o pessoal afetado e requisitos de arquivo para versões substituídas."

Próximos passos

Com seu conjunto completo de políticas da NIS2 criado e aprovado, você agora tem a base documental para a conformidade.

Continue com os próximos guias desta série:

• Notificação de incidentes: Veja Como Implementar a Notificação de Incidentes da NIS2 Usando IA para construir os fluxos de trabalho operacionais, modelos e manuais que operacionalizam sua Política de Resposta a Incidentes
• Segurança da cadeia de suprimentos: Veja Como Gerenciar a Segurança da Cadeia de Suprimentos da NIS2 Usando IA para implementar as avaliações de fornecedores e questionários descritos em sua Política de Segurança da Cadeia de Suprimentos

Se você ainda não concluiu a avaliação de riscos, consulte Como Realizar Avaliação de Riscos da NIS2 Usando IA -- suas políticas devem ser fundamentadas nos resultados da avaliação de riscos. Para configuração e escopo iniciais, comece com Como Começar a Implementação da NIS2 Usando IA.

Para prompts prontos para geração de políticas, explore a NIS2 Directive Prompt Library. Para uma visão geral abrangente de todos os requisitos da NIS2, consulte o NIS2 Compliance Guide for In-Scope Companies.

Obtendo ajuda

Para suporte adicional na criação de políticas da NIS2:

• Pergunte ao ISMS Copilot: Use seu espaço de trabalho da NIS2 para perguntas contínuas sobre políticas, personalização e atualizações
• Faça upload de políticas existentes: Obtenha análise de lacunas com IA para identificar o que precisa ser criado, atualizado ou fortalecido
• Personalização por setor: Peça por disposições específicas do setor para adicionar aos modelos genéricos de políticas (particularmente importante para os setores de energia, saúde, transporte e infraestrutura digital)
• Alinhamento com a transposição nacional: Pergunte sobre requisitos adicionais que seu estado membro possa ter imposto além da linha de base da Diretiva