Diretiva NIS2

A Diretiva NIS2 (Diretiva (UE) 2022/2555) é a legislação atualizada de cibersegurança da UE que estabelece requisitos abrangentes de segurança e notificação de incidentes para entidades essenciais e importantes em setores críticos. Em vigor a partir de 18 de outubro de 2024, a NIS2 expande significativamente o escopo e a aplicação de sua antecessora (NIS1), abrangendo mais setores e impondo obrigações mais rigorosas.

Quem Precisa de Conformidade com a NIS2?

A NIS2 aplica-se a organizações que operam na UE em 18 setores críticos, categorizados como:

Entidades Essenciais (maior criticidade):

• Energia (eletricidade, petróleo, gás, hidrogênio)
• Transporte (aéreo, ferroviário, aquático, rodoviário)
• Bancos e infraestruturas do mercado financeiro
• Setor de saúde (prestadores de serviços de saúde, laboratórios, fabricantes de dispositivos médicos)
• Água potável e águas residuais
• Infraestrutura digital (pontos de troca de internet, provedores de DNS, serviços em nuvem, data centers)
• Administração pública
• Espaço

Entidades Importantes (criticidade moderada):

• Serviços postais e de courier
• Gestão de resíduos
• Produção e distribuição de produtos químicos
• Produção e distribuição de alimentos
• Fabricação (dispositivos médicos, eletrônicos, máquinas, veículos motorizados)
• Provedores digitais (marketplaces online, motores de busca, redes sociais)
• Organizações de pesquisa

Os limites de tamanho variam por estado-membro, mas geralmente aplicam-se a organizações de médio e grande porte (50+ funcionários ou €10M+ de faturamento anual). Pequenas e microempresas podem ser incluídas se fornecerem serviços críticos.

Requisitos de Segurança Principais

A NIS2 determina um conjunto abrangente de medidas de cibersegurança em dez domínios:

1. Gestão de riscos: Identificar e avaliar riscos de cibersegurança para sistemas de rede e informação
2. Tratamento de incidentes: Detectar, responder e recuperar-se de incidentes de segurança
3. Continuidade de negócios: Gestão de backups, recuperação de desastres e gestão de crises
4. Segurança da cadeia de suprimentos: Avaliar e gerir riscos de segurança de fornecedores e prestadores de serviços
5. Segurança na aquisição: Integrar segurança na aquisição de sistemas e serviços
6. Gestão de vulnerabilidades: Avaliar vulnerabilidades e implementar patches e atualizações
7. Políticas e procedimentos: Documentar políticas de segurança para controle de acesso, gestão de ativos e autenticação
8. Criptografia e encriptação: Proteger a confidencialidade e integridade dos dados
9. Segurança de recursos humanos: Políticas de controle de acesso, treinamento e programas de conscientização
10. Autenticação multifator e comunicações seguras: Implementar autenticação forte e sistemas de comunicação de emergência encriptados

Obrigações de Notificação de Incidentes

A NIS2 introduz prazos rigorosos para notificação de incidentes:

• Aviso Preliminar (24 horas): Notificar o CSIRT nacional ou autoridade competente dentro de 24 horas após tomar conhecimento de um incidente significativo
• Notificação do Incidente (72 horas): Enviar avaliação inicial incluindo gravidade, indicadores de comprometimento e impacto inicial
• Relatório Final (1 mês): Fornecer relatório detalhado com análise de causa raiz, avaliação de impacto e medidas de remediação

Governança e Responsabilidade

A NIS2 enfatiza a responsabilidade do órgão de gestão:

• Responsabilidade em nível de diretoria: Os órgãos de gestão devem aprovar medidas de cibersegurança e supervisionar sua implementação
• Responsabilidade pessoal: A gestão pode ser responsabilizada pessoalmente por não conformidade
• Requisitos de treinamento: A gestão deve participar de treinamentos em cibersegurança
• Autoridade de supervisão: As autoridades nacionais podem realizar inspeções e auditorias no local

Penalidades e Aplicação

A NIS2 introduz penalidades harmonizadas em toda a UE:

• Entidades essenciais: Até €10 milhões ou 2% do faturamento anual global (o que for maior)
• Entidades importantes: Até €7 milhões ou 1,4% do faturamento anual global (o que for maior)

Penalidades podem ser aplicadas por falha na implementação de medidas de segurança, violações na notificação de incidentes ou não cooperação com as autoridades.

Como o ISMS Copilot Ajuda

O ISMS Copilot oferece suporte abrangente para a conformidade com a NIS2:

• Orientações específicas do framework: Faça perguntas sobre artigos específicos da NIS2, medidas de segurança ou obrigações de notificação
• Geração de políticas: Crie políticas prontas para auditoria que abrangem todos os dez domínios de cibersegurança
• Análise de lacunas: Carregue documentação de segurança existente para identificar lacunas em relação aos requisitos da NIS2
• Avaliações de risco: Gere avaliações de risco alinhadas à NIS2 para sistemas e relações na cadeia de suprimentos
• Planejamento de resposta a incidentes: Desenvolva esquemas de classificação de incidentes e fluxos de trabalho de notificação alinhados aos prazos da NIS2
• Roteiros de conformidade: Solicite orientações de implementação com base no tipo de organização e setor
• Organização do workspace: Gerencie projetos da NIS2 separadamente de outras iniciativas de conformidade

A IA possui conhecimento direto da estrutura e requisitos da NIS2, permitindo que você faça referência a artigos ou medidas de segurança específicos em seus prompts.

Começando

Para iniciar o trabalho de conformidade com a NIS2 no ISMS Copilot:

1. Crie um workspace dedicado para a conformidade com a NIS2
2. Pergunte à IA se sua organização se qualifica como uma entidade essencial ou importante
3. Gere políticas fundamentais para os dez domínios de cibersegurança
4. Carregue políticas de cibersegurança existentes para análise de lacunas
5. Desenvolva um plano de resposta a incidentes com fluxos de trabalho de notificação compatíveis com a NIS2
6. Crie um processo de avaliação de segurança da cadeia de suprimentos

Implementação pelos Estados-Membros

Embora a NIS2 estabeleça requisitos mínimos, os estados-membros individuais da UE podem impor obrigações adicionais por meio de leis nacionais de transposição. Verifique as orientações da autoridade nacional de cibersegurança para requisitos específicos do país.

Recursos Relacionados

• Texto oficial da Diretiva NIS2: EUR-Lex
• Orientações e recursos da ENISA (Agência da União Europeia para Cibersegurança)
• Contatos do CSIRT nacional e autoridades competentes