Adequação à NIS2
A NIS2 é a diretiva europeia de cibersegurança (Diretiva UE 2022/2555), transposta pelos países-membros até 17 de outubro de 2024. Ela amplia as obrigações a entidades essenciais e importantes em diversos setores e alcança grupos brasileiros com operações na União Europeia, com responsabilidade da alta gestão e notificação de incidentes em prazos curtos.
O que é a NIS2?
A NIS2 (Diretiva UE 2022/2555) é a diretiva da União Europeia sobre a segurança das redes e dos sistemas de informação. Entrou em vigor em 16 de janeiro de 2023, revogou a antiga Diretiva NIS (UE 2016/1148) e deveria ser transposta para a lei nacional de cada país-membro até 17 de outubro de 2024.
A diretiva distingue entidades essenciais de entidades importantes e aplica-se, pela regra de porte, a partir das médias empresas nos setores listados nos Anexos I e II. Introduz a responsabilidade direta da alta gestão, um conjunto mínimo de medidas de gestão de risco e obrigações de notificação de incidentes. A NIS2 tem alcance extraterritorial: atinge organizações não estabelecidas na UE que ofereçam serviços no mercado europeu — incluindo grupos brasileiros com subsidiárias ou operações na Europa — que, em alguns casos, precisam designar um representante na União. A transposição ocorre por meio das leis nacionais de cada país, portanto o escopo exato e as sanções dependem da jurisdição em que a entidade opera.
O que a adequação cobre
A quem se aplica a NIS2?
A NIS2 aplica-se às entidades essenciais e importantes dos setores de alta criticidade e críticos, em regra a partir das médias empresas. O primeiro passo da adequação é determinar se e como a organização entra no escopo, setor a setor e jurisdição a jurisdição.
Entidades essenciais
Grandes organizações dos setores de alta criticidade do Anexo I. Estão sujeitas a supervisão proativa e às sanções mais elevadas previstas na diretiva.
Entidades importantes
Médias empresas dos setores do Anexo I e entidades dos setores do Anexo II. Estão sujeitas a supervisão reativa, acionada diante de indícios de não conformidade.
Setores de alta criticidade (Anexo I)
Energia, transportes, setor bancário, infraestruturas do mercado financeiro, saúde, água potável e residual, infraestrutura digital, gestão de serviços de TIC, administração pública e espaço.
Outros setores críticos (Anexo II)
Serviços postais e de courier, gestão de resíduos, produtos químicos, alimentos, indústria de transformação, provedores de serviços digitais e organizações de pesquisa.
Regra de porte
A diretiva aplica-se, em regra, a empresas de porte médio ou maior; algumas entidades críticas entram no escopo independentemente do porte.
Grupos com operações na UE
O alcance extraterritorial atinge organizações não europeias que ofereçam serviços na União. Alguns provedores digitais precisam designar um representante na UE.
Quais são as obrigações e os prazos da NIS2?
A NIS2 exige medidas de gestão de risco proporcionais, responsabilidade da alta gestão e um processo de notificação de incidentes em etapas. Os prazos de notificação são curtos e precisam ser desenhados antes de o incidente ocorrer.
Responsabilidade da alta gestão
Os órgãos de administração aprovam as medidas de gestão de risco, supervisionam sua implementação e podem responder pessoalmente por violações. Há também obrigação de capacitação.
Medidas de gestão de risco
Um conjunto mínimo de medidas técnicas e organizacionais: análise de risco, tratamento de incidentes, continuidade de negócios, criptografia, controle de acesso e higiene cibernética básica.
Notificação de incidentes
Alerta inicial em até 24 horas do conhecimento do incidente significativo, notificação do incidente em até 72 horas e relatório final em até um mês, à autoridade nacional competente ou ao CSIRT.
Segurança da cadeia de suprimentos
As medidas devem cobrir os riscos originados de fornecedores e prestadores de serviço, com avaliação de segurança ao longo de toda a cadeia de suprimentos.
Registro e supervisão
As entidades no escopo devem registrar-se junto às autoridades nacionais, que exercem supervisão e podem exigir auditorias, inspeções e provas de conformidade.
Sanções
Para entidades essenciais, até 10 milhões de euros ou 2% do faturamento anual mundial total; para entidades importantes, até 7 milhões de euros ou 1,4%, o que for maior.
Como a Berghem apoia a adequação à NIS2?
Da determinação do escopo à validação técnica, a Berghem — com a Berilo para o mercado europeu — cobre as medidas de gestão de risco, a governança e a notificação de incidentes exigidas pela diretiva, com evidências auditáveis.
Gap analysis NIS2
Determinação do escopo (entidade essencial ou importante) e diagnóstico contra as medidas de gestão de risco, com roadmap priorizado até a conformidade.
ISO 27001 como base
Um sistema de gestão de segurança da informação alinhado à ISO 27001 fornece grande parte das medidas técnicas e organizacionais exigidas pela NIS2.
Incident response e notificação
Desenho do processo de resposta e notificação que cumpre as janelas de 24h, 72h e um mês, com playbook, papéis e comunicação com a autoridade competente.
Segurança da cadeia de suprimentos
Gestão de risco de terceiros (TPRM) para avaliar fornecedores e a cadeia de suprimentos, como exigem as medidas da NIS2.
Testes técnicos
Teste de invasão e segurança ofensiva que produzem as evidências das medidas de segurança implementadas em redes, aplicações e infraestrutura.
Threat intelligence
Inteligência de ameaças para apoiar a análise de risco e o monitoramento contínuo previstos nas medidas da diretiva.
O que determina o custo e o prazo de uma adequação à NIS2?
Não existe preço único. O investimento depende do escopo aplicável, da maturidade atual dos controles e do número de jurisdições em que o grupo opera.
Classificação da entidade
Ser entidade essencial ou importante muda a intensidade da supervisão e a profundidade das evidências exigidas, e com isso o esforço da adequação.
Maturidade dos controles
Organizações com um SGSI já implementado — por exemplo, alinhado à ISO 27001 — chegam à conformidade com menos remediação. Gaps abertos alongam o cronograma.
Número de jurisdições
A NIS2 é transposta por leis nacionais distintas. Operar em vários países da UE multiplica as obrigações de registro, notificação e relacionamento com as autoridades.
Complexidade da cadeia de suprimentos
O número de fornecedores críticos e sua relevância para o serviço determinam a amplitude da avaliação de risco de terceiros.
Dúvidas sobre a NIS2
Quem precisa se adequar à NIS2?
Qual era o prazo de transposição da NIS2?
Quais são os prazos de notificação de incidentes?
Quais sanções a NIS2 prevê?
A NIS2 se aplica a um grupo brasileiro com operações na UE?
Pronto para iniciar a adequação à NIS2?
Em uma conversa determinamos o escopo aplicável, mapeamos os gaps contra as medidas da diretiva e desenhamos o caminho até a conformidade — da governança à notificação de incidentes.
Fale Conosco