NIS2: quem está abrangido e por onde começar?
A diretiva europeia NIS2 alarga fortemente o número de organizações sujeitas a obrigações de cibersegurança. Eis as referências para saber se está abrangido e como se preparar, sem substituir a análise de um profissional.
Equipa editorial Kayzen Security4 min de leitura
O que prevê a diretiva
Adotada a 14 de dezembro de 2022, a diretiva NIS2 substitui a diretiva NIS de 2016. Impõe às entidades abrangidas a adoção de medidas de gestão dos riscos de cibersegurança (artigo 21.º), a notificação dos incidentes significativos (artigo 23.º) e responsabiliza os órgãos de direção, que devem aprovar essas medidas e receber formação (artigo 20.º).
Em França, a transposição faz-se através de uma lei e de textos de aplicação. O seu estado de avanço e as datas de entrada em vigor devem ser verificados no site da ANSSI no momento em que lê este guia.
Estou abrangido? Os três critérios
- O setor: a diretiva enumera 11 setores de «elevada criticidade» (anexo I: energia, transportes, banca, saúde, água, infraestruturas digitais, administração pública, espaço…) e 7 «outros setores críticos» (anexo II: serviços postais, gestão de resíduos, química, alimentação, fabrico de certos produtos, prestadores digitais, investigação). Para o setor financeiro, o regulamento DORA (UE) 2022/2554 aplica-se prioritariamente à gestão dos riscos e à notificação dos incidentes.
- A dimensão: regra geral, as médias empresas (pelo menos 50 trabalhadores, ou um volume de negócios e um balanço total superiores a 10 milhões de euros) e as grandes empresas destes setores; os efetivos e montantes das empresas associadas ou parceiras podem ter de ser somados.
- As exceções de dimensão: certas entidades estão abrangidas independentemente da sua dimensão, nomeadamente os fornecedores de redes ou de serviços de comunicações eletrónicas públicos, os prestadores de serviços de confiança, os registos de nomes de domínio de topo e os prestadores de serviços de DNS, bem como, consoante a designação nacional, uma entidade que seja a única a prestar um serviço essencial no país.
- As autarquias e administrações podem estar abrangidas consoante a transposição nacional.
Entidades essenciais e entidades importantes
As duas categorias devem aplicar os mesmos tipos de medidas, mas a supervisão difere: controlos possíveis a priori para as entidades essenciais, a posteriori para as entidades importantes. A diretiva fixa também limites máximos de coimas administrativas mais elevados para as entidades essenciais. Os montantes aplicáveis em França dependem da lei de transposição.
As medidas do artigo 21, em resumo
- Análise de riscos e políticas de segurança.
- Gestão de incidentes.
- Continuidade das atividades, cópias de segurança e gestão de crises.
- Segurança da cadeia de abastecimento.
- Segurança na aquisição, desenvolvimento e manutenção dos sistemas, incluindo a gestão de vulnerabilidades.
- Avaliação da eficácia das medidas.
- Ciber-higiene básica e formação.
- Criptografia e cifragem.
- Segurança dos recursos humanos, controlo de acessos e gestão de ativos.
- Autenticação multifator e comunicações seguras.
Notificar os incidentes significativos
A diretiva prevê um alerta precoce no prazo de 24 horas após tomar conhecimento de um incidente significativo, uma notificação do incidente no prazo de 72 horas e, depois, um relatório final o mais tardar um mês após essa notificação. Estas notificações são dirigidas à CSIRT ou à autoridade competente. Isto pressupõe saber detetar um incidente, qualificá-lo e conhecer antecipadamente o interlocutor certo.
Por onde começar
- Verificar a sua situação com a ajuda do serviço online da ANSSI e pedir a um profissional que confirme a análise.
- Fazer o inventário dos seus sistemas, dos seus dados e dos seus prestadores.
- Implementar as medidas de higiene básicas: atualizações, autenticação de dois fatores, cópias de segurança offline, contas de administrador controladas.
- Redigir um procedimento de gestão e notificação de incidentes.
- Envolver a direção, que deve aprovar as medidas e receber formação.
Este guia resume a directive (UE) 2022/2555 a título informativo. Não constitui um parecer jurídico: a sua sujeição e as suas obrigações devem ser validadas por um profissional, com base no texto de transposição em vigor e nas informações da ANSSI. Uma ferramenta como a Kayzen pode contribuir para as medidas do artigo 21, mas não torna uma organização conforme.
Fontes oficiais
- ANSSI (novo separador) — Espace NIS 2 : test d'éligibilité et informations sur la transposition
- EUR-Lex (novo separador) — Directive (UE) 2022/2555 (NIS 2), Journal officiel de l'Union européenne
- ANSSI (novo separador) — Agence nationale de la sécurité des systèmes d'information — guides et publications
Os recursos citados são publicados pelos respetivos autores na língua original. A Kayzen não está associada a nenhum destes organismos.
Este guia é informativo e geral. Não substitui um aconselhamento jurídico nem a intervenção de um profissional de segurança informática.