Este artigo se dedica a explicar, de forma clara e objetiva, os requisitos práticos de conformidade da Diretiva NIS2 e os principais desafios para sua implementação. Apresenta orientações práticas sobre as exigências da NIS2, estratégias eficazes para garantir a conformidade e as consequências do não cumprimento.
O que é a Diretiva NIS2?
A Diretiva NIS2 é a legislação de cibersegurança mais abrangente já implementada pela União Europeia. Trata-se da segunda versão da Diretiva de Redes e Sistemas de Informação (NIS). A NIS2 revisou a legislação original para eliminar ambiguidades, estabelecer requisitos de segurança mais robustos e ampliar seu escopo, promovendo uma implementação mais harmonizada em diversos setores.
Compreendendo a Diretiva NIS2: fundamentos e abrangência
A Diretiva NIS2 estabelece um conjunto padrão de requisitos de cibersegurança para todos os Estados-membros da UE, com o objetivo de fortalecer a resiliência e a proteção cibernética de entidades essenciais e importantes em toda a União. Essa diretiva visa identificar e mitigar a crescente complexidade e frequência das ameaças cibernéticas enfrentadas por essas organizações, ao definir uma base comum de práticas de gestão de riscos, controles de segurança, responsabilidades, governança e colaboração.
Objetivos da NIS2
Com a NIS2, os legisladores buscaram corrigir a implementação inconsistente e os diferentes níveis de segurança entre os setores, por meio das seguintes ações:
- Estabelecimento de responsabilidade da gestão, exigindo que conselhos e executivos supervisionem e aprovem as medidas de cibersegurança, com possibilidade de responsabilidade pessoal em caso de descumprimento.
- Fortalecimento da colaboração transfronteiriça por meio de mecanismos como a Rede Europeia de Organização de Ligação para Crises Cibernéticas (EU-CyCLONe).
- Definição de protocolos rigorosos para notificação de incidentes, com prazos específicos para comunicar autoridades sobre ocorrências relevantes.
- Ampliação do escopo para abranger mais setores e tipos de entidades, incluindo aquelas que antes não eram reguladas.
- Harmonização das regras de fiscalização e penalidades em toda a UE.
- Introdução de requisitos de segurança baseados em risco, com a adoção de medidas técnicas, operacionais e organizacionais adequadas para a gestão dos riscos cibernéticos.
Principais setores e entidades impactados pela NIS2
A Diretiva NIS2 estabelece regras de porte para direcionar a regulação às entidades cuja falha ou comprometimento possa causar impactos amplos, sem perder a flexibilidade para incluir operadores menores, mas altamente críticos. Os principais setores e entidades abrangidos são organizações de médio e grande porte. No entanto, organizações menores também podem ser enquadradas pela NIS2 se forem as únicas fornecedoras de um serviço essencial em uma região ou se sua interrupção puder comprometer significativamente a segurança pública ou a saúde.
Organizações classificadas como médias ou grandes segundo os critérios da União Europeia. No entanto, esses parâmetros não se aplicam a entidades de setores específicos, como aquelas que são:
- Consideradas infraestrutura crítica
- Fornecedoras de serviços públicos (como redes de comunicação eletrônica)
- Prestadoras de serviços cuja interrupção possa afetar a segurança pública, a proteção, à saúde ou gerar riscos sistêmicos
- Únicas fornecedoras de um serviço para o governo
Categorias de entidades abrangidas pela Diretiva NIS2
As organizações, empresas e fornecedores impactados pela Diretiva NIS2 são divididos em duas categorias: entidades essenciais e entidades importantes. Essa distinção é fundamental, pois cada grupo está sujeito a regimes de supervisão e fiscalização distintos, fortalecendo a resiliência e a segurança nas áreas estratégicas da infraestrutura crítica da União Europeia.
Obrigações das entidades essenciais e entidades importantes segundo a NIS2
Tanto as entidades essenciais quanto as entidades importantes devem cumprir os principais requisitos da Diretiva NIS2, incluindo:
- Medidas de gestão de riscos
- Planos de resposta a incidentes e gestão de crises
- Continuidade de negócios e recuperação de desastres
- Gestão de riscos na cadeia de suprimentos e de terceiros
- Segurança de redes e sistemas de informação
- Políticas de segurança para tratamento de dados e divulgação de vulnerabilidades
- Políticas para desenvolvimento, testes e manutenção seguros
- Boas práticas de ciber-higiene e treinamentos de cibersegurança para colaboradores
- Notificação de incidentes
- Governança e responsabilização
- Aprovação das medidas de cibersegurança pelos conselhos e alta administração
- Responsabilização pessoal da gestão por descumprimento
- Programas obrigatórios de treinamento e conscientização para a alta gestão
- Supervisão e aplicação das normas
Principais datas e cronograma para implementação da NIS2
A Diretiva NIS2 entrou em vigor em janeiro de 2023. Os Estados-membros da União Europeia devem adotar e publicar as legislações necessárias para cumprimento da NIS2 até 17 de outubro de 2024. Após esse prazo, os Estados-membros têm até 17 de abril de 2025 para identificar as entidades essenciais e importantes conforme definido na Diretiva. As entidades sujeitas à NIS2 precisam se registrar em cada Estado-membro da UE onde atuam antes dos respectivos prazos, além de atualizar o registro pelo menos a cada dois anos.
NIS1 x NIS2: O que mudou?
As tabelas a seguir apresentam comparativos entre o NIS e o NIS2 elaborados pela Comissão Europeia.
| Capacidade | Cooperação | Gestão de riscos cibernéticos |
|---|---|---|---|
NIS1 | Os Estados-membros da UE aprimoram suas capacidades de cibersegurança. | A cooperação em nível europeu foi ampliada. | Operadores de Serviços Essenciais (OES) e Provedores de Serviços Digitais (DSP) precisam adotar práticas de gestão de riscos e comunicar às autoridades nacionais a ocorrência de incidentes relevantes. |
NIS2 | São implementadas medidas de supervisão mais rigorosas e mecanismos de fiscalização mais efetivos. Foi definida uma lista de sanções administrativas, incluindo multas para violações das obrigações de gestão de riscos de cibersegurança e de reporte. | Foi criada a Rede Europeia de Ligação para Crises Cibernéticas (EU-CyCLONe) para apoiar a gestão coordenada de incidentes cibernéticos de grande escala em toda a União Europeia. O compartilhamento de informações e a cooperação entre as autoridades dos Estados-membros foram ampliados, com o fortalecimento do papel do Grupo de Cooperação. Além disso, foi estabelecido um processo coordenado de divulgação de vulnerabilidades recém-identificadas em toda a UE. | Os requisitos de segurança são reforçados por um conjunto de medidas específicas, como resposta a incidentes e gestão de crises, tratamento e divulgação de vulnerabilidades, políticas e procedimentos para avaliar a eficácia das ações de gestão de riscos cibernéticos, práticas básicas de higiene digital e treinamento em cibersegurança, uso efetivo de criptografia, segurança de recursos humanos, políticas de controle de acesso e gestão de ativos. A segurança cibernética da cadeia de suprimentos de tecnologias de informação e comunicação essenciais também é fortalecida. As obrigações de notificação de incidentes passam a exigir processos, conteúdos e prazos mais precisos. |
Confira outras mudanças incorporadas pela Diretiva NIS2:
- Obrigações reforçadas para entidades essenciais e importantes implementarem medidas técnicas, operacionais e organizacionais para gerenciar riscos.
- Ampliação significativa dos requisitos de notificação de incidentes.
- Penalidades mais rigorosas para o descumprimento da NIS2.
Requisitos de conformidade com a NIS2: ações, notificações e implicações legais
A Diretiva NIS2 estabelece diversas obrigações e responsabilidades para as entidades abrangidas, detalhando processos legais para supervisão e manutenção da conformidade, incluindo os pontos a seguir. Vale destacar que a NIS2 não impõe mudanças tecnológicas específicas. Em vez disso, ela orienta conceitos e práticas recomendadas para fortalecer a postura de segurança das organizações.
Medidas técnicas e organizacionais de segurança
- Adotar medidas técnicas, operacionais e organizacionais proporcionais aos riscos da entidade, considerando porte, exposição, probabilidade e impacto.
- Formalizar e manter políticas para sistemas de segurança, identificação, avaliação e tratamento de riscos.
- Definir processos, funções, ferramentas e playbooks para detecção, triagem, contenção, erradicação e recuperação de incidentes.
- Desenvolver planos de continuidade de negócios e gestão de crises para garantir a rápida restauração de serviços críticos.
- Avaliar e gerenciar riscos provenientes de terceiros, como fornecedores e prestadores de serviços.
- Estabelecer políticas e procedimentos para avaliar a eficácia das medidas de gerenciamento de riscos, incluindo testes, métricas e auditorias.
- Manter elevados padrões de higiene cibernética, como aplicação de patches, reforço de segurança, princípio do menor privilégio e registro de eventos.
- Realizar treinamentos regulares em cibersegurança e conscientização de riscos para todos os usuários.
- Definir regras claras para o uso de criptografia, abrangendo dados em repouso, em trânsito e gestão de chaves.
- Implementar e aplicar processos de entrada, movimentação e desligamento, com triagem adequada, treinamento obrigatório em segurança, obrigações de confidencialidade e medidas disciplinares definidas.
- Aplicar restrições de acesso baseadas no menor privilégio e necessidade de conhecimento, utilizando autenticação multifator (MFA), controles de acesso baseados em função (RBAC), revisões periódicas de acesso, gerenciamento de acesso privilegiado (PAM) para administradores e acesso remoto seguro.
- Manter inventário de ativos de hardware, software e dados, tanto locais quanto em nuvem e aplicações SaaS, atribuindo responsáveis e classificações, além de acompanhar o ciclo de vida de cada ativo.
- Garantir a segurança dos canais de comunicação, como e-mail, voz, vídeo e SMS.
O que deve ser reportado
Incidentes relevantes devem ser reportados. Isso inclui qualquer ocorrência que tenha causado ou possa causar interrupção operacional grave, prejuízo financeiro, danos a terceiros ou impacto negativo na prestação de serviços.
Prazos para reporte
O prazo começa a contar a partir do momento em que a entidade toma conhecimento do incidente. Em até 24 horas, um alerta inicial deve ser enviado ao CSIRT ou à autoridade competente, informando a causa suspeita e o possível impacto transfronteiriço.
A notificação do incidente, incluindo a avaliação inicial, gravidade, impacto e indicadores de comprometimento (IoCs), deve ser enviada em até 72 horas. O relatório final - ou uma atualização, caso o incidente ainda esteja em andamento - deve ser apresentado em até um mês após a notificação inicial.
O que caracteriza um incidente significativo
De acordo com a Diretiva NIS2, a relevância de um incidente é avaliada qualitativamente com base na gravidade, interrupção, prejuízo financeiro ou danos a terceiros. No entanto, existem critérios objetivos que incluem:
- Prejuízo financeiro - igual ou superior a €500.000 ou 5% do faturamento anual (o que for menor)
- Indisponibilidade - interrupção total por mais de 30 minutos em serviços de nuvem, CDN e MSP/MSSP (podendo haver regras específicas para outras entidades)
- Disponibilidade degradada - serviço limitado para mais de 5% dos usuários da UE ou para mais de 1 milhão de usuários por mais de 1 hora
- Comprometimento de dados - integridade, confidencialidade ou autenticidade comprometidas
- Acesso não autorizado - capaz de causar interrupção grave ou incidentes recorrentes
Quem notificar e como funciona a coordenação
- Notifique o CSIRT nacional ou a autoridade competente
- Para incidentes que envolvam vários Estados-Membros, o CSIRT, a autoridade competente ou o Ponto Único de Contato (SPOC) nacional deve informar, sem demora injustificada, os demais Estados-Membros afetados e a Agência da União Europeia para a Cibersegurança (ENISA)
- Quando necessário para o interesse público (por exemplo, para prevenir ou gerenciar um incidente em andamento), as autoridades podem informar o público ou exigir que as entidades o façam
- O SPOC de cada país envia relatórios trimestrais agregados e anonimizados à ENISA
Expectativas de governança e documentação
Governança
- Supervisão do conselho e responsabilidade, com a diretoria aprovando formalmente o programa de risco cibernético, revisando os resultados pelo menos uma vez por ano e após incidentes relevantes
- Papéis definidos com responsáveis nomeados
- Políticas e normas revisadas e atualizadas periodicamente
- Declarações de tolerância ao risco e diretrizes para aceitação de riscos
- Inclusão de todos os terceiros nas políticas
Avaliação de riscos
- Metodologia documentada aplicada ao menos uma vez por ano e sempre que houver mudanças significativas, como a implementação de um novo sistema, fornecedor ou incidente
- Processos de análise de risco orientados por ameaças
- Registro de riscos com responsáveis, prazos, tratamentos definidos e vinculação a controles específicos
Documentação
Documentos essenciais do programa, incluindo:
- Política de segurança da informação, política de gestão de riscos, protocolos de gerenciamento de ativos e configurações, regras de identidade e gerenciamento de acesso, e processos de gestão de mudanças.
- Plano de resposta a incidentes, possivelmente com playbooks.
- Planos de backup e recuperação.
- Regras para o ciclo de vida seguro de desenvolvimento de software (SDLC).
- Regras de gestão de fornecedores.
- Registros de treinamentos de conscientização em segurança e riscos.
Auditoria
Entidades essenciais passam por auditorias e inspeções proativas, enquanto entidades importantes são avaliadas após incidentes ou denúncias. As autoridades podem determinar inspeções presenciais ou remotas, varreduras técnicas de segurança e auditorias independentes direcionadas. Entre os pontos de atenção para auditorias NIS2, destacam-se:
- Ciclo anual de auditorias internas, testes técnicos (como varreduras de vulnerabilidades e verificação de conformidade de configurações) e testes de invasão independentes.
- Registros de métricas e evidências de conformidade, incluindo políticas, avaliações de risco, inventários de ativos, registros de incidentes, testes de recuperação de desastres, logs de treinamentos, due diligence de fornecedores, e artefatos relacionados a mudanças, correções, gerenciamento de identidade e acesso, além de criptografia.
Responsabilidades da gestão
A Diretiva NIS2 atribui à gestão a responsabilidade por:
- Garantir a realização de avaliações de risco cibernético
- Implementar medidas de segurança técnicas e organizacionais
- Gerenciar riscos de forma adequada
- Apoiar a cibersegurança por meio de programas de treinamento e gestão de riscos
Como superar os desafios reais na implementação da NIS2
Veja a seguir algumas etapas recomendadas para que sua organização esteja pronta para implementar as exigências da Diretiva NIS2.
Adote uma postura proativa em segurança
Realize análises de risco de forma contínua para identificar ameaças potenciais de maneira proativa. Assim, sua organização pode antecipar problemas e garantir a preparação necessária para atender às exigências de conformidade da Diretiva NIS2.
Criptografe todos os dados críticos
Para cumprir os rigorosos padrões de cibersegurança da Diretiva NIS2, é fundamental utilizar criptografia para proteger dados críticos, como bases de dados, comunicações, documentos, servidores e infraestruturas essenciais.
Promova uma cultura voltada para a segurança
A alta liderança da organização deve estabelecer a cibersegurança como prioridade em todos os departamentos. A criação de uma cultura orientada para a segurança digital começa pela liderança e se consolida ao exigir um nível mínimo de conscientização sobre segurança entre os colaboradores.
Os treinamentos de segurança precisam ser personalizados para que cada funcionário compreenda como suas funções e responsabilidades influenciam a proteção da empresa.
Identifique os serviços, processos e ativos críticos relacionados ao serviço essencial conforme definido na Diretiva NIS2
A realização de uma avaliação de impacto permite identificar quais áreas exigem proteções adicionais para garantir a conformidade com a NIS2. Esse processo revela quais sistemas e processos estão dentro do escopo da Diretiva NIS2.
Implemente sistemas de gestão de riscos e de segurança da informação em conformidade para atender aos requisitos da Diretiva NIS2
Muitas organizações percebem a necessidade de atualizar ou substituir seus sistemas de gestão de segurança da informação para atender à Diretiva NIS2. A empresa deve ser capaz de:
- Demonstre responsabilidades definidas.
- Garanta o funcionamento de processos essenciais, como políticas de segurança dos sistemas de informação, tratamento e gestão de incidentes, continuidade dos negócios (por exemplo, sistemas de backup e planos de recuperação de desastres), gestão de riscos de terceiros, gestão de vulnerabilidades e treinamentos de conscientização em segurança para colaboradores.
- Identifique, corrija e monitore os riscos de segurança.
Torne a autenticação multifator obrigatória para todos os usuários
A implementação da autenticação multifator (MFA) para proteger todas as contas, substituindo o uso exclusivo de senhas, é fundamental para proteger ativos e atender às exigências da Diretiva NIS2.
Prepare-se para o reporte de incidentes
Em caso de incidente, a agilidade é crucial para a conformidade com a NIS2. Para garantir uma resposta rápida, siga estas etapas:
- Preparar modelos de relatórios para 24 horas, 72 horas e 30 dias
- Disponibilizar uma lista de contatos da Equipe de Resposta a Incidentes de Segurança da Informação (CSIRT)
- Definir internamente o conceito de "conhecimento" do incidente, pois o prazo começa após a avaliação inicial confirmar um incidente significativo
- Realizar treinamentos com todas as partes envolvidas na execução do plano de resposta a incidentes
Entenda os requisitos da Diretiva NIS2 e prepare-se para atendê-los
Isso exige dedicar tempo para estudar os requisitos e avaliar o nível de prontidão da organização para atender às exigências. É fundamental identificar lacunas e implementar planos para corrigi-las antes do prazo final de conformidade.
Outro aspecto essencial da preparação é garantir o apoio da liderança, o engajamento das partes interessadas e a alocação do orçamento e dos recursos necessários. Iniciar o processo com antecedência é fundamental, pois atrasos são praticamente inevitáveis e os prazos não serão estendidos.
Exemplos práticos de conformidade com a NIS2 na União Europeia
Conformidade transfronteiriça com a NIS2
Para entidades que atuam em mais de um país, a conformidade com a NIS2 baseia-se no princípio do "estabelecimento principal", em que um Estado-Membro da UE assume o papel de regulador líder. Redes de cooperação, como a EU-CyCLONe e o Grupo de Cooperação NIS, garantem que incidentes que impactam diversos países sejam tratados de forma coordenada, evitando uma aplicação fragmentada das regras. O exemplo a seguir, envolvendo um provedor de serviços em nuvem, demonstra como a conformidade transfronteiriça com a NIS2 funciona na União Europeia.
Um provedor de nuvem com sede nos EUA e data centers na Alemanha, França e Irlanda está sujeito à NIS2 como Entidade Essencial. Nessa situação, o provedor deve indicar seu principal estabelecimento na UE (por exemplo, a sede na Irlanda) como jurisdição líder. Assim, o órgão regulador irlandês assume o papel de autoridade supervisora principal, coordenando o gerenciamento de incidentes e a supervisão com as autoridades alemãs e francesas. Por exemplo, se um incidente de segurança na Alemanha afetar serviços em toda a UE, o provedor deve reportar o caso pelo Ponto Único de Contato (SPOC) da Irlanda, que compartilha as informações com os demais Estados-Membros.
Coordenação com terceiros para conformidade com a NIS2
A gestão de riscos de terceiros e da cadeia de suprimentos é um pilar central da NIS2. Mesmo ao terceirizar operações, as entidades mantêm a responsabilidade pela segurança. Por isso, é fundamental adotar avaliações rigorosas de fornecedores, salvaguardas contratuais, monitoramento contínuo e obrigações de reporte para todos os terceiros envolvidos. O exemplo a seguir ilustra o papel dos terceiros nas cadeias de suprimentos do setor industrial.
Um fabricante de dispositivos médicos, classificado como Entidade Importante, adquire componentes de IoT de vários fornecedores em toda a UE. Esse fabricante precisa mapear todo o ecossistema de fornecedores para identificar dependências críticas e manter um plano de continuidade de negócios que inclua acordos alternativos de fornecimento caso algum fornecedor seja comprometido. Além disso, os fornecedores devem cumprir a norma ISO/IEC 27001 ou equivalente e apresentar relatórios de auditoria de cibersegurança.
A Diretiva NIS2 - Parte de uma tendência crescente
A Diretiva NIS2 estabelece uma base obrigatória e harmonizada de cibersegurança em toda a UE. Ela amplia o escopo dos setores abrangidos, impõe obrigações mais rigorosas de gestão de riscos e de relatórios, e responsabiliza a liderança pelo cumprimento das exigências.
A Diretiva NIS2 reflete uma tendência crescente de incorporar cibersegurança e resiliência cibernética à legislação. Com a NIS2, todos os Estados-membros da UE são obrigados a adotá-la como lei.
A Diretiva NIS2 impacta organizações de todos os tipos, com o objetivo de fortalecer as defesas diante do aumento das ameaças cibernéticas. A boa notícia é que a NIS2 e iniciativas semelhantes contribuem para aprimorar a postura geral de cibersegurança das organizações, gerando impactos positivos em todas as áreas de operação.
AVISO LEGAL: AS INFORMAÇÕES CONTIDAS NESTE ARTIGO TÊM FINALIDADE EXCLUSIVAMENTE INFORMATIVA. NENHUM CONTEÚDO AQUI APRESENTADO DEVE SER CONSIDERADO COMO ORIENTAÇÃO JURÍDICA DE QUALQUER NATUREZA. A SAILPOINT NÃO PODE FORNECER ESSE TIPO DE ORIENTAÇÃO E RECOMENDA QUE VOCÊ CONSULTE UM ASSESSOR JURÍDICO SOBRE QUESTÕES LEGAIS APLICÁVEIS.
