Requisitos NIS2: medidas, notificação, checklist

Quem é afetado pela NIS2

A NIS2 distingue entidades essenciais e entidades importantes em diversos setores, entre eles energia, transportes, saúde, infraestrutura digital, águas residuais, administração pública, serviços postais, resíduos, química, alimentos e indústria de transformação. Em geral, o que define é o porte (a partir de 50 funcionários ou mais de 10 milhões de euros de faturamento anual e balanço) e o setor; para algumas entidades, a NIS2 se aplica independentemente do porte. Na Alemanha, as empresas afetadas devem se registrar no BSI (Departamento Federal de Segurança da Informação).

Medidas de gestão de riscos do art. 21

O art. 21 da NIS2 exige medidas técnicas, operacionais e organizacionais adequadas, entre elas:

• Políticas de análise de riscos e de segurança dos sistemas de informação
• Tratamento de incidentes de segurança
• Continuidade de negócios, gestão de backups, gestão de crises
• Segurança da cadeia de suprimentos
• Segurança na aquisição, no desenvolvimento e na manutenção, incluindo o tratamento de vulnerabilidades
• Avaliação da eficácia das medidas
• Ciber-higiene e treinamentos, criptografia, controle de acesso, autenticação multifator

Notificação: 24 horas, 72 horas, um mês

Incidentes de segurança significativos devem ser notificados em etapas: um alerta precoce em até 24 horas, uma notificação em até 72 horas com uma primeira avaliação e um relatório final em até um mês. Isso só funciona se os incidentes forem detectados rapidamente e bem documentados – a tarefa do XMfortress Detect.

Responsabilidade da diretoria

A alta direção precisa aprovar as medidas, supervisionar sua implementação e participar regularmente de treinamentos. Ela pode ser responsabilizada em caso de descumprimento. Infrações podem gerar multas de até 10 milhões de euros ou 2 % do faturamento anual global (entidades essenciais) ou de 7 milhões de euros ou 1,4 % (entidades importantes).

Checklist NIS2: os primeiros passos

• Verificar se a empresa é afetada e fazer o registro no BSI
• Nomear responsáveis e treinar a diretoria
• Montar um inventário de ativos e mantê-lo atualizado
• Realizar a análise de riscos e definir um processo de vulnerabilidades com prazos
• Estabelecer e praticar a detecção e os fluxos de notificação de incidentes
• Verificar e documentar regularmente a eficácia das medidas
• Incluir fornecedores e prestadores de serviços na avaliação

O XMfortress apoia a implementação técnica e fornece evidências. A responsabilidade pelo cumprimento continua sendo da empresa; a plataforma não substitui uma análise jurídica.