NIS2: O Que É e Porque a Sua Empresa Provavelmente Precisa de Cumprir

A NIS2 (Diretiva (UE) 2022/2555) é a diretiva de cibersegurança atualizada da UE, e a atualização é a parte importante: abrange muitas mais empresas do que a diretiva NIS original de 2016 alguma vez abrangeu. Se a sua empresa assumiu que a regulação de cibersegurança era algo aplicável a redes elétricas e hospitais, vale a pena olhar de novo para a NIS2, porque a lista de setores é agora muito mais longa, e inclui muitas empresas de média dimensão que não se veem a si próprias como "infraestrutura crítica".

Quem é realmente abrangido

A NIS2 divide as organizações abrangidas em entidades "essenciais" e "importantes", principalmente por setor e dimensão. As entidades essenciais incluem energia, transportes, banca, infraestruturas de mercados financeiros, saúde, água potável, infraestrutura digital (fornecedores de cloud, centros de dados, fornecedores de DNS) e administração pública. As entidades importantes acrescentam serviços postais e de correio, gestão de resíduos, químicos, alimentação, fabrico de determinados produtos, fornecedores digitais (mercados online, motores de busca, redes sociais) e investigação.

Os limiares de dimensão importam: a NIS2 aplica-se geralmente a médias e grandes empresas (50+ colaboradores ou €10M+ de volume de negócios anual) nestes setores, embora algumas entidades sejam abrangidas independentemente da dimensão se o seu papel for suficientemente crítico. Se a sua empresa está num destes setores e ultrapassa este limiar, a NIS2 quase certamente aplica-se, quer tenha sido ou não formalmente notificada por uma autoridade nacional.

O que realmente exige

A NIS2 não é uma checklist de controlos técnicos; exige que as organizações implementem medidas de gestão de risco "adequadas e proporcionais", mas nomeia áreas específicas que têm de ser cobertas:

• Análise de risco e políticas de segurança dos sistemas de informação
• Gestão de incidentes, incluindo um prazo de notificação genuinamente apertado: uma notificação inicial à autoridade competente no prazo de 24 horas após tomar conhecimento de um incidente significativo, um relatório mais completo no prazo de 72 horas
• Continuidade de negócio e gestão de crise, incluindo cópias de segurança e recuperação de desastres
• Segurança da cadeia de fornecimento, o que significa que a postura de segurança dos seus fornecedores passa a ser, em parte, um problema seu
• Segurança na aquisição, desenvolvimento e manutenção de sistemas de informação e comunicação
• Políticas sobre o uso de criptografia e encriptação
• Higiene cibernética básica e formação em segurança

Os órgãos de gestão também assumem responsabilidade pessoal ao abrigo da NIS2: a liderança tem de aprovar as medidas de gestão de risco de cibersegurança e pode enfrentar responsabilidade por incumprimento, não apenas a organização.

O que acontece se não cumprir

Os Estados-Membros tinham até 17 de outubro de 2024 para transpor a NIS2 para o direito nacional, e a aplicação da lei inclui penalizações reais: até €10 milhões ou 2% do volume de negócios anual global para entidades essenciais, o que for mais elevado, e até €7 milhões ou 1,4% do volume de negócios para entidades importantes. Os reguladores nacionais podem também impor instruções vinculativas, auditorias e, em casos graves, a suspensão temporária de certificações ou de responsabilidades de gestão.

Onde isto se sobrepõe ao que provavelmente já faz

Se a sua empresa já opera a ISO 27001, a maior parte do trabalho de base transfere-se diretamente: gestão de risco, resposta a incidentes, supervisão da cadeia de fornecimento e controlo de acessos são centrais em ambas. A NIS2 acrescenta o prazo de notificação e a responsabilidade direta da gestão, mas raramente significa começar um programa de segurança do zero se já existir um razoável. O trabalho prático é mapear o que já faz face aos requisitos específicos da NIS2, encontrar as lacunas, mais frequentemente a velocidade de notificação de incidentes e a avaliação formal de risco da cadeia de fornecimento, e fechá-las antes que um incidente force a questão.