Como começar a implementação da NIS2 usando IA

Visão geral

Você aprenderá como usar IA para iniciar a implementação da Diretiva NIS2, desde determinar se sua organização está no escopo, até compreender as obrigações de entidades essenciais versus importantes, obter aprovação do órgão de gestão conforme o Artigo 20, realizar uma análise de lacunas em relação ao Artigo 21 e construir um roteiro de implementação acionável usando o ISMS Copilot.

Para quem é este guia

Este guia é para:

• CISOs e líderes de conformidade em organizações que podem estar no escopo da NIS2
• Membros do órgão de gestão que precisam entender sua responsabilidade pessoal sob a Diretiva
• Consultores de segurança que assessoram clientes sobre a prontidão para a NIS2 em estados-membros da UE
• Gerentes de TI e risco responsáveis pela operacionalização dos requisitos da NIS2
• Equipes de GRC que gerenciam a NIS2 juntamente com outros frameworks, como ISO 27001, DORA ou GDPR

Antes de começar

Você precisará de:

• Uma conta no ISMS Copilot (teste gratuito disponível)
• Conhecimento da classificação setorial da sua organização, número de funcionários e faturamento anual
• Acesso às suas políticas atuais de segurança da informação e inventário de controles (se disponível)
• Detalhes de contato da autoridade nacional competente e do CSIRT
• Acesso à alta liderança para discussões sobre governança e aprovação

Entendendo a NIS2 e por que a IA é importante para a implementação

O que é a Diretiva NIS2?

A Diretiva NIS2 é a legislação atualizada de cibersegurança da União Europeia, substituindo a Diretiva NIS original (2016/1148). Ela estabelece requisitos abrangentes de segurança e notificação de incidentes para entidades essenciais e importantes em 18 setores críticos. A NIS2 expande significativamente o escopo das organizações abrangidas, fortalece a governança e a responsabilização, harmoniza penalidades entre os estados-membros e introduz prazos mais rigorosos para notificação de incidentes.

A NIS2 é construída em torno de três pilares principais de obrigações:

• Artigo 20 -- Governança: Aprovação pelo órgão de gestão, supervisão, treinamento e responsabilidade pessoal
• Artigo 21 -- Medidas de gestão de risco: Dez domínios de cibersegurança abrangendo tudo, desde análise de risco até autenticação multifator
• Artigo 23 -- Notificação de incidentes: Prazos de 24 horas para aviso inicial, 72 horas para notificação e um mês para relatório final

O desafio da implementação sem IA

A implementação da NIS2 é exigente devido a:

• Complexidade do escopo: Determinar a aplicabilidade entre setores, limites de tamanho e transposições nacionais requer análise detalhada
• Amplitude dos requisitos: O Artigo 21 abrange dez áreas distintas de medidas de cibersegurança, cada uma exigindo políticas, procedimentos e controles dedicados
• Volume de documentação: Produzir políticas, avaliações de risco, manuais de incidentes e avaliações da cadeia de suprimentos prontos para auditoria em todas as áreas de medidas
• Complexidade multijurisdicional: Organizações que operam em vários estados-membros da UE devem acompanhar as diferenças nas transposições nacionais
• Prazos apertados: A fiscalização está em andamento, e as autoridades supervisoras podem realizar inspeções a qualquer momento

Como o ISMS Copilot acelera a implementação da NIS2

O ISMS Copilot oferece assistência de IA desenvolvida especificamente para a NIS2:

• Determinação do escopo: Analise seu setor, tamanho e serviços para determinar a classificação como entidade essencial ou importante
• Análise de lacunas: Carregue a documentação existente e identifique lacunas em relação a todas as áreas de medidas do Artigo 21
• Geração de políticas: Elabore políticas prontas para auditoria para cada um dos dez domínios de cibersegurança exigidos
• Modelos de notificação de incidentes: Gere fluxos de trabalho para relatórios de 24 horas, 72 horas e finais alinhados com o Artigo 23
• Avaliações da cadeia de suprimentos: Crie questionários de segurança para fornecedores e frameworks de avaliação de risco
• Conhecimento específico do framework: Obtenha respostas fundamentadas nos artigos da NIS2, considerandos e orientações da ENISA -- não em resultados genéricos da internet

Passo 1: Determine o escopo da NIS2

Classificação setorial

A NIS2 aplica-se a organizações de médio e grande porte (50+ funcionários OU faturamento anual/balanço de EUR 10 milhões ou mais) que operam em 18 setores designados. O primeiro passo é confirmar se as atividades da sua organização se enquadram nesses setores.

Entidades Essenciais (Anexo I -- Alta Criticalidade):

Setor

Exemplos

Energy

Eletricidade, aquecimento/refrigeração urbana, petróleo, gás, hidrogênio

Transport

Operadores de transporte aéreo, ferroviário, aquático e rodoviário

Banking

Instituições de crédito

Financial market infrastructure

Locais de negociação, contrapartes centrais

Health

Provedores de saúde, laboratórios de referência, P&D farmacêutica/manufatura, fabricantes de dispositivos médicos

Drinking water

Abastecimento e distribuição de água

Wastewater

Coleta, descarte e tratamento de águas residuais

Digital infrastructure

IXPs, provedores de DNS, registros TLD, nuvem/data centers/CDNs, provedores de serviços de confiança, telecomunicações

ICT service management (B2B)

Provedores de serviços gerenciados, provedores de serviços de segurança gerenciados

Public administration

Entidades governamentais centrais e regionais

Space

Operadores de infraestrutura terrestre

Entidades Importantes (Anexo II):

Setor

Exemplos

Postal and courier services

Provedores de serviços universais, entrega expressa

Waste management

Operadores de resíduos perigosos e não perigosos

Chemicals

Fabricação e distribuição de produtos químicos

Food

Produção, processamento e distribuição de alimentos

Manufacturing

Dispositivos médicos, DIVs, eletrônicos, ótica, equipamentos elétricos, máquinas, veículos motorizados, equipamentos de transporte

Digital providers

Marketplaces online, motores de busca, plataformas de mídia social

Research organizations

Instituições de pesquisa (onde os resultados são explorados comercialmente)

Usando IA para determinação do escopo

1. Abra o ISMS Copilot em chat.ismscopilot.com

2. Execute uma avaliação de escopo:

   "Avalie se nossa organização está no escopo da NIS2. Somos uma empresa do setor [setor] com [número] funcionários e faturamento anual de EUR [valor], operando em [estados-membros da UE]. Nossas atividades principais incluem [descrever serviços]. Determine se nos qualificamos como uma entidade essencial ou importante, qual estado-membro tem jurisdição e quais obrigações específicas se aplicam."

3. Verifique casos limite:

   "Estamos abaixo dos limites padrão de tamanho da NIS2, mas fornecemos [descrever serviço crítico]. Ainda poderíamos estar no escopo sob as exceções do Artigo 2 ou disposições de transposição nacional? Quais critérios desencadeariam a inclusão?"

4. Documente a decisão de escopo:

   "Gere uma declaração formal de escopo da NIS2 para nossa organização, documentando: classificação setorial, análise do limite de tamanho, categorização da entidade (essencial/importante), jurisdição do estado-membro aplicável e a fundamentação para nossa determinação. Formate este documento como pronto para auditoria."

Passo 2: Entenda a diferença entre as obrigações de entidades essenciais e importantes

Por que a classificação importa

Sua classificação como entidade essencial ou importante determina diretamente seu regime de supervisão, exposição a penalidades e a intensidade das obrigações sob a NIS2.

Aspecto

Entidades Essenciais

Entidades Importantes

Supervisão

Pró-ativa (ex ante) -- as autoridades podem inspecionar a qualquer momento

Reativa (ex post) -- as autoridades investigam após incidentes ou evidências de não conformidade

Multas máximas

EUR 10 milhões ou 2% do faturamento anual global, o que for maior

EUR 7 milhões ou 1,4% do faturamento anual global, o que for maior

Responsabilidade da gestão

Responsabilidade pessoal para os membros do órgão de gestão

Responsabilidade pessoal para os membros do órgão de gestão

Medidas do Art. 21

Implementação completa de todas as dez áreas de medidas

Implementação completa de todas as dez áreas de medidas (proporcional ao risco)

Notificação de incidentes

Relatórios de 24h/72h/1 mês para o CSIRT

Relatórios de 24h/72h/1 mês para o CSIRT

Medidas adicionais de fiscalização

Suspensão de certificações, proibição de funções de gestão

Advertências, instruções vinculativas, ordens de conformidade

Analisando obrigações com IA

Peça ao ISMS Copilot para detalhar as obrigações específicas para sua classificação:

"Fomos classificados como uma entidade [essencial/importante] sob a NIS2 em [estado-membro]. Crie uma matriz abrangente de obrigações mostrando: cada requisito dos Artigos 20, 21 e 23, o que especificamente devemos implementar, o regime de supervisão e fiscalização que enfrentamos e as penalidades por não conformidade em cada área de obrigação."

Passo 3: Obtenha aprovação do órgão de gestão e aborde a responsabilidade pessoal

Por que a governança do Artigo 20 vem primeiro

O Artigo 20 da NIS2 exige que o órgão de gestão (conselho de administração, gestão executiva ou equivalente) aprove formalmente as medidas de gestão de risco de cibersegurança e supervisione sua implementação. Isso não é opcional -- é uma obrigação legal com responsabilidade pessoal vinculada.

Especificamente, o Artigo 20 exige:

• Os membros do órgão de gestão devem aprovar as medidas de gestão de risco de cibersegurança adotadas sob o Artigo 21
• Os membros do órgão de gestão devem supervisionar a implementação dessas medidas
• Os membros do órgão de gestão podem ser responsabilizados pessoalmente por infrações
• Os membros do órgão de gestão devem seguir treinamento em cibersegurança e incentivar o treinamento regular dos funcionários

Preparando a apresentação para a gestão com IA

1. Gere um briefing pronto para o conselho:

   "Crie um briefing executivo sobre as obrigações da Diretiva NIS2 para o órgão de gestão de uma empresa do setor [setor] classificada como entidade [essencial/importante]. Aborde: o que a NIS2 exige especificamente do órgão de gestão, as disposições de responsabilidade pessoal sob o Artigo 20, as penalidades que enfrentamos (até EUR [10M/7M] ou [2%/1,4%] do faturamento global), regime de supervisão e quais decisões precisam de aprovação em nível de conselho. Formate para uma apresentação de 30 minutos ao conselho."

2. Elabore uma resolução do órgão de gestão:

   "Redija uma resolução formal do órgão de gestão aprovando a adoção das medidas de gestão de risco de cibersegurança da NIS2 para nossa organização. Inclua: reconhecimento das obrigações da NIS2, aprovação do framework de gestão de risco de cibersegurança, designação de responsáveis, compromisso com supervisão e treinamento contínuos e autorização dos recursos necessários."

3. Crie um esboço de treinamento para a gestão:

   "Projete um programa de treinamento em cibersegurança para membros do órgão de gestão que atenda aos requisitos de treinamento do Artigo 20 da NIS2. Inclua: obrigações de governança específicas da NIS2, fundamentos de risco cibernético para executivos não técnicos, responsabilidades de notificação de incidentes, supervisão de risco na cadeia de suprimentos e como avaliar relatórios de cibersegurança. Especifique duração, frequência e documentação de evidências."

Passo 4: Realize uma análise de lacunas em relação ao Artigo 21

Entendendo as dez áreas de medidas

O Artigo 21(2) exige que as organizações implementem medidas de gestão de risco de cibersegurança que cubram, no mínimo, estas dez áreas:

1. (a) Políticas de análise de risco e segurança de sistemas de informação
2. (b) Tratamento de incidentes
3. (c) Continuidade de negócios, incluindo gestão de backups, recuperação de desastres e gestão de crises
4. (d) Segurança da cadeia de suprimentos, incluindo aspectos de segurança das relações com fornecedores diretos e prestadores de serviços
5. (e) Segurança na aquisição, desenvolvimento e manutenção de redes e sistemas de informação, incluindo tratamento e divulgação de vulnerabilidades
6. (f) Políticas e procedimentos para avaliar a eficácia das medidas de gestão de risco de cibersegurança
7. (g) Práticas básicas de ciber-higiene e treinamento em cibersegurança
8. (h) Políticas e procedimentos relativos ao uso de criptografia e, quando apropriado, encriptação
9. (i) Segurança de recursos humanos, políticas de controle de acesso e gestão de ativos
10. (j) Uso de autenticação multifator ou soluções de autenticação contínua, comunicações seguras de voz/vídeo/texto e sistemas de comunicação de emergência seguros

Executando a análise de lacunas com IA

1. Prepare seu inventário atual: Antes de executar a análise de lacunas, reúna suas políticas existentes, avaliações de risco, planos de resposta a incidentes, planos de continuidade de negócios e qualquer documentação de controle de segurança.

2. Carregue documentos e execute a análise:

   "Estou carregando nossa documentação atual de segurança da informação. Realize uma análise abrangente de lacunas em relação a todas as dez áreas de medidas do Artigo 21(2) da NIS2. Para cada área, avalie: (1) se temos uma política ou procedimento documentado, (2) se o conteúdo da política atende aos requisitos da NIS2, (3) se há evidência de implementação, (4) lacunas específicas identificadas, (5) nível de risco da lacuna (Crítico/Alto/Médio/Baixo) e (6) ações de remediação recomendadas com esforço estimado."

3. Se você não tiver documentação existente:

   "Estamos iniciando a implementação da NIS2 do zero, sem políticas de cibersegurança existentes. Gere uma análise de lacunas de linha de base mostrando todas as dez áreas de medidas do Artigo 21(2) como não conformes, com um roteiro de remediação priorizado. Para cada área, descreva quais documentos, controles e evidências precisamos produzir e estime o esforço necessário para uma organização de [tamanho da empresa] no setor [setor]."

4. Gere o relatório de análise de lacunas:

   "Formate os resultados da análise de lacunas como um Relatório Formal de Análise de Lacunas da NIS2, incluindo: resumo executivo, metodologia, resultados detalhados por área de medida do Artigo 21(2), pontuação de maturidade de conformidade geral, plano de remediação priorizado com cronograma e requisitos de recursos. Este relatório será apresentado ao nosso órgão de gestão para aprovação."

Passo 5: Configure seu espaço de trabalho do ISMS Copilot para a NIS2

Por que um espaço de trabalho dedicado é importante

Um espaço de trabalho dedicado para a NIS2 no ISMS Copilot garante que cada resposta da IA seja adaptada ao contexto da sua implementação da NIS2, mantém suas conversas de projeto e documentos carregados organizados e cria um registro de auditoria do seu trabalho de conformidade.

Criando seu espaço de trabalho da NIS2

1. Faça login no ISMS Copilot em chat.ismscopilot.com
2. Clique no menu suspenso do espaço de trabalho na barra lateral
3. Selecione "Criar novo espaço de trabalho"
4. Nomeie seu espaço de trabalho usando uma convenção clara:

• "Implementação da NIS2 - [Nome da Empresa]"
• "Conformidade com a NIS2 - [Nome do Cliente] - [Estado-Membro]"
• "NIS2 Entidade [Essencial/Importante] - [Setor]"

5. Defina instruções personalizadas para adaptar todas as respostas:

Foco na conformidade com a Diretiva NIS2 (UE 2022/2555).

Contexto da organização:
- Setor: [ex.: energia, saúde, infraestrutura digital, manufatura]
- Classificação da entidade: [essencial / importante]
- Tamanho: [funcionários, faturamento anual]
- Estado(s)-membro(s) da UE: [jurisdição principal e outros estados de operação]
- Lei de transposição nacional: [nome da lei nacional, se conhecido]
- Maturidade atual: [começando do zero / possui ISO 27001 / possui controles parciais]

Escopo do projeto:
- Data-alvo para conformidade: [data]
- Principais lacunas: [listar áreas-chave da análise de lacunas]
- Principais partes interessadas: [CISO, conselho, jurídico, TI, operações]

Preferências:
- Enfatizar saídas prontas para auditoria com referências aos artigos da NIS2
- Destacar obrigações do órgão de gestão sob o Artigo 20
- Incluir considerações sobre transposição nacional quando relevante
- Alinhar com a ISO 27001 quando aplicável para organizações que buscam ambos

Passo 6: Crie seu roteiro de implementação da NIS2

Entendendo as fases de implementação

A implementação da NIS2 normalmente segue estas fases:

Fase

Atividades-chave

Duração típica

Principais entregáveis

1. Escopo e governança

Determinação do escopo, briefing para o órgão de gestão, resolução, framework de governança

2-4 semanas

Declaração de escopo, resolução do conselho, estatuto de governança

2. Análise de lacunas

Avaliação do estado atual em relação a todas as áreas do Art. 21, revisão da transposição nacional

3-6 semanas

Relatório de análise de lacunas, plano de remediação priorizado

3. Avaliação de risco

Análise de risco de todos os perigos, identificação de ativos, panorama de ameaças, tratamento de risco

4-8 semanas

Metodologia de risco, registro de riscos, plano de tratamento de risco

4. Desenvolvimento de políticas e procedimentos

Elaboração de políticas para todas as dez áreas de medidas do Art. 21

6-10 semanas

Dez documentos de políticas, procedimentos de suporte

5. Implementação técnica

Implantação de controles: MFA, criptografia, monitoramento, backup, controles de acesso

8-16 semanas

Evidências de implementação de controles, registros de configuração

6. Prontidão para resposta a incidentes

Construção de fluxos de trabalho de notificação, modelos, manuais, registro no CSIRT

3-5 semanas

Matriz de classificação de incidentes, modelos de notificação, manuais

7. Segurança da cadeia de suprimentos

Avaliações de fornecedores, questionários, atualizações contratuais

4-8 semanas

Registro de risco de fornecedores, questionários, cláusulas contratuais

8. Treinamento e conscientização

Treinamento da gestão, ciber-higiene para funcionários, treinamento baseado em funções

2-4 semanas

Materiais de treinamento, registros de presença, avaliações de competência

9. Teste de eficácia

Teste de controles, avaliações de vulnerabilidade, exercícios de mesa

3-6 semanas

Resultados de testes, planos de ação corretiva

10. Registro na autoridade e conformidade contínua

Registro na autoridade nacional, estabelecimento de monitoramento contínuo

2-3 semanas

Confirmação de registro, procedimentos de monitoramento

Gerando seu roteiro com IA

1. Crie um plano de implementação personalizado:

   "Gere um roteiro detalhado de implementação da NIS2 para nossa organização do setor [setor] ([número de funcionários] funcionários, classificada como entidade [essencial/importante] em [estado-membro]). Atualmente, temos [descrever controles existentes: ex.: certificação ISO 27001 / sem SGSI formal / algumas políticas em vigor]. Inclua divisão por fases, marcos-chave, requisitos de recursos, dependências entre fases e itens do caminho crítico. Meta de conformidade total até [data]."

2. Identifique vitórias rápidas:

   "Com base em nossa análise de lacunas da NIS2, identifique as 10 principais vitórias rápidas que podemos alcançar nos primeiros 30 dias para demonstrar progresso ao nosso órgão de gestão. Foque em ações de alto impacto e baixo esforço que também abordem as lacunas de conformidade mais críticas."

3. Construa o plano de recursos:

   "Estime os recursos internos e externos necessários para a implementação da NIS2 em uma organização do setor [setor] de [tamanho da empresa]. Inclua: requisitos de FTE por função (CISO, analista de segurança, TI, jurídico, gerente de projeto), necessidade potencial de consultores externos, investimentos em tecnologia e orçamento de treinamento. Forneça uma faixa de estimativa de custos."

4. Crie um plano de comunicação com partes interessadas:

   "Desenvolva um plano de comunicação com partes interessadas para nosso projeto de implementação da NIS2. Inclua: mensagens-chave para o órgão de gestão, chefes de departamento, equipe de TI, jurídico e todos os funcionários. Defina frequência de comunicação, canais e caminhos de escalonamento para cada fase do roteiro."

Passo 7: Registre-se na autoridade nacional competente

Entendendo os requisitos de registro

A NIS2 exige que entidades essenciais e importantes se registrem na autoridade competente designada de seu estado-membro. O processo de registro varia por estado-membro, mas normalmente requer:

• Nome da organização, endereço e número de registro
• Classificação do setor e subsetor
• Detalhes de contato da pessoa de ligação designada
• Estados-membros da UE onde a entidade opera
• Intervalos de endereços IP (para certas entidades de infraestrutura digital)

Usando IA para preparar o registro

"Prepare as informações necessárias para o registro de entidade NIS2 junto à autoridade competente de [estado-membro]. Os detalhes da nossa organização são: [forneça nome da empresa, número de registro, setor, serviços, estados-membros de operação]. Gere uma lista de verificação de todas as informações que precisamos reunir e redija a notificação de registro."

Mapeando a NIS2 para frameworks existentes

Aproveitando a ISO 27001 para a NIS2

Se sua organização já é certificada na ISO 27001 ou está implementando o padrão, você tem uma vantagem significativa na conformidade com a NIS2. Muitas áreas de medidas do Artigo 21 mapeiam diretamente para controles da ISO 27001.

Peça ao ISMS Copilot para criar um mapeamento:

"Crie um mapeamento detalhado entre as áreas de medidas do Artigo 21 da NIS2 e os controles do Anexo A da ISO 27001:2022. Para cada requisito da NIS2, mostre: a cláusula ou controle correspondente da ISO 27001, lacunas onde a ISO 27001 não cobre totalmente os requisitos da NIS2 e ações adicionais necessárias para a conformidade com a NIS2."

Alinhando com a DORA

Entidades do setor financeiro podem estar sujeitas tanto à NIS2 quanto ao Digital Operational Resilience Act (DORA). O Artigo 4 da NIS2 inclui uma disposição lex specialis, o que significa que, onde a DORA impõe requisitos equivalentes ou mais rigorosos, esses prevalecem.

"Nossa organização está sujeita tanto à NIS2 quanto à DORA. Crie uma análise de sobreposição de conformidade mostrando quais requisitos da NIS2 são totalmente cobertos pela DORA, quais requerem ações adicionais específicas da NIS2 e como estruturar um programa de conformidade unificado que satisfaça ambos os frameworks."

Próximos passos na implementação da NIS2

Você agora estabeleceu a base para a implementação da NIS2:

• Escopo determinado e documentado
• Classificação da entidade confirmada
• Órgão de gestão informado e resolução aprovada
• Análise de lacunas concluída em relação ao Artigo 21
• Espaço de trabalho do ISMS Copilot configurado
• Roteiro de implementação criado

Continue com os próximos guias desta série:

• Avaliação de risco: Veja Como Realizar Avaliação de Risco da NIS2 Usando IA para um mergulho profundo na análise de risco de todos os perigos, identificação de ativos e tratamento de risco alinhado com o Artigo 21
• Criação de políticas: Veja Como Criar Políticas de Cibersegurança da NIS2 Usando IA para orientações passo a passo sobre a geração de políticas para cada uma das dez áreas de medidas do Artigo 21
• Notificação de incidentes: Veja Como Implementar a Notificação de Incidentes da NIS2 Usando IA para conformidade com o Artigo 23, fluxos de trabalho de notificação e manuais
• Segurança da cadeia de suprimentos: Veja Como Gerenciar a Segurança da Cadeia de Suprimentos da NIS2 Usando IA para avaliações de fornecedores, questionários e requisitos contratuais

Para prompts prontos para uso em todos os domínios da NIS2, explore a Biblioteca de Prompts da Diretiva NIS2. Para uma visão abrangente dos requisitos da NIS2, consulte o Guia de Conformidade com a NIS2 para Empresas no Escopo.

Obtendo ajuda

Para suporte adicional durante a implementação da NIS2:

• Pergunte ao ISMS Copilot: Use seu espaço de trabalho dedicado da NIS2 para perguntas contínuas à medida que avança em cada fase
• Carregue documentos: Obtenha análise de lacunas com IA em políticas de segurança existentes, avaliações de risco ou inventários de controles
• Perguntas e respostas sobre frameworks: Faça perguntas específicas sobre artigos da NIS2, considerandos ou requisitos de transposição nacional
• Alinhamento multiframework: Obtenha orientações sobre o alinhamento da NIS2 com a ISO 27001, DORA, GDPR ou outros frameworks aplicáveis