- A aplicação do NIS2 está ativa. As autoridades nacionais passaram dos questionários de autoavaliação para inspeções formais em vários estados membros da UE
- As entidades essenciais enfrentam supervisão proativa. Os reguladores não precisam de um incidente para iniciar uma auditoria
- Fines reach €10 million or 2% of global turnover for essential entities, and €7 million or 1.4% for important entities
- A notificação de incidentes requer um aviso prévio de 24 horas, uma notificação de 72 horas e um relatório final de um mês. A falta de qualquer estágio aciona uma descoberta de conformidade separada
- Se você ainda não começou: um registro de riscos, um plano de resposta a incidentes e uma análise de segurança do fornecedor são as três áreas que oferecem maior cobertura com mais rapidez
Onde está a fiscalização agora
A NIS2 entrou em vigor em todos os estados-membros da UE em outubro de 2024. O período de transposição deu aos legisladores nacionais tempo para incluir a NIS2 na legislação nacional, e a maioria já o fez. Na Holanda, o Ciberbeveiligingmolhado (Lei de Segurança Cibernética) é o veículo principal. O Rijksdienst voor Digitale Infrastructuur (RDI) atua como a principal autoridade supervisora para a maioria dos setores, com o NCSC coordenando a resposta a incidentes e o compartilhamento de inteligência. Os reguladores específicos do setor, incluindo o De Nederlandsche Bank para infraestruturas do mercado financeiro, mantêm o seu próprio papel de supervisão no âmbito do quadro NIS2.
Várias autoridades nacionais em toda a UE começaram com questionários de autoavaliação. Estes pediram às organizações abrangidas que avaliassem a sua própria conformidade em relação às 18 medidas de segurança do Artigo 21. Essa fase forneceu aos reguladores uma imagem do panorama. O ciclo formal de inspeção que se segue funciona de forma diferente: os reguladores solicitam documentação, realizam avaliações no local, entrevistam gestores responsáveis e verificam se os controlos documentados realmente funcionam.
Os operadores de energia, água, transportes, saúde e infraestruturas digitais enfrentam as primeiras ondas de inspeção. As organizações de infra-estruturas do mercado financeiro estão sob supervisão sectorial específica que já funciona numa cadência comparável. Se a sua organização atua em um desses setores e não recebeu questionário ou aviso de pré-inspeção, isso não significa que você esteja fora do escopo. Seu número ainda não apareceu.
As entidades essenciais ficam sob supervisão proativa (ex ante). Os reguladores podem auditá-los a qualquer momento e não apenas após um incidente. Entidades importantes enfrentam supervisão reativa (ex post) por padrão: uma auditoria normalmente segue um incidente relatado ou uma reclamação de terceiros. A classificação da sua entidade determina quanto tempo você provavelmente terá antes que as evidências sejam solicitadas.
O que os reguladores realmente verificam
O artigo 21.º do NIS2 enumera 18 medidas de segurança específicas. Os reguladores não os tratam como uma lista de verificação a ser marcada. Procuram provas de que cada medida funciona conforme pretendido no ambiente operacional e não apenas de que existe um documento político. As áreas que geram mais conclusões nos primeiros ciclos de aplicação são:
- Documentação de governança: Os reguladores pedem a aprovação do conselho de administração sobre a política de segurança cibernética, funções e responsabilidades documentadas e provas de que a gestão de topo assumiu a responsabilidade. O NIS2 responsabiliza pessoalmente a gestão. Os reguladores procuram atas do conselho que demonstrem um envolvimento ativo com o risco de segurança, e não uma política assinada que a TI produziu e a gestão nunca discutiu.
- Registros de gerenciamento de risco: Um registro de riscos datado e com escopo definido com proprietários de ativos nomeados, ameaças documentadas, impacto avaliado e mitigações registradas. Os reguladores querem que o registro seja um documento ativo com histórico de versões, e não um exercício único produzido para esta auditoria.
- Políticas de segurança da cadeia de abastecimento: A NIS2 estende as obrigações à cadeia de abastecimento. Os reguladores perguntam como sua organização avalia a postura de segurança de fornecedores críticos, quais termos contratuais você impõe e como monitora a conformidade contínua. A segurança da cadeia de abastecimento produz mais resultados de auditoria do que qualquer outra área.
- Evidência de controle de acesso: Logs que demonstram a aplicação de privilégios mínimos, registros de análises de acesso, cobertura de implantação de MFA e evidências de gerenciamento de acesso privilegiado para contas administrativas. Os reguladores verificam se os controlos funcionam e não apenas se uma política os obriga.
- Planos de continuidade de negócios: Planos de continuidade e recuperação de desastres testados e datados, com tempo de recuperação e objetivos de ponto de recuperação definidos. Um plano que nunca foi testado provavelmente gerará uma descoberta.
- Registros de treinamento de conscientização da equipe: Taxas de conclusão, evidências de conteúdo e frequência do treinamento de conscientização. Isso se estende a programas de simulação de phishing e registros de treinamento de segurança específico para funções de alto risco.
Os reguladores procuram provas de que a segurança é um risco gerido na sua organização, apoiado por documentação que resista a um exame minucioso. A segurança perfeita não é o bar.
Os reguladores também examinam a sua capacidade de detecção de incidentes. Eles querem saber como sua organização identificaria um incidente significativo e quem é responsável por essa determinação. As organizações que não conseguem demonstrar um mecanismo de detecção funcional enfrentam uma conversa difícil, independentemente da aparência de seus outros controles no papel.
A estrutura fina (e quando se aplica)
O NIS2 cria dois níveis de penalidade financeira, vinculados à classificação da sua entidade:
- Entidades essenciais: Multa máxima de 10 milhões de euros ou 2% do volume de negócios total anual global, o que for maior.
- Entidades importantes: Multa máxima de 7 milhões de euros ou 1,4% do volume de negócios total anual global, o que for maior.
Estas são figuras do teto. Os reguladores definem a multa real com base na gravidade da violação, por quanto tempo a não conformidade durou, até que ponto sua organização cooperou durante a investigação e se você se autodenunciou. Uma descoberta inicial com esforço de remediação documentado gera uma resposta diferente de um padrão de não conformidade ou de uma tentativa de ocultar um incidente.
Para além das sanções financeiras, a NIS2 proporciona às autoridades nacionais duas ferramentas com peso operacional direto. Primeiro, podem emitir instruções vinculativas que exijam medidas de remediação específicas dentro de um prazo definido. Em segundo lugar, para entidades essenciais, podem proibir temporariamente uma pessoa designada com uma função de gestão de exercer as suas funções. Essa possibilidade tende a chamar a atenção do conselho para a governação da segurança cibernética mais rapidamente do que uma multa.
O NIS2 responsabiliza diretamente a gestão sênior pela conformidade da segurança cibernética. Os reguladores de vários Estados-Membros declararam que, quando o incumprimento reflectir uma falha de governação e não uma lacuna técnica, utilizarão o poder de proibição pessoal. As funções de CISO e CIO não absorvem essa responsabilidade. Os membros do conselho e diretores o carregam.
Os estados membros também podem exigir que a sua organização divulgue publicamente uma violação de segurança cibernética. Uma divulgação pública obrigatória, uma multa e uma ordem de reparação que cheguem juntas representam o pior cenário realista. Planeje todos os três, não apenas a penalidade financeira.
Relatórios de incidentes: o cronograma que surpreende as organizações
As obrigações de comunicação de incidentes no NIS2 são precisas. A maioria das organizações subestima o quão difícil é atendê-los em condições reais. O relógio começa no momento em que sua organização toma conhecimento de um incidente significativo, e não quando você confirma seu escopo ou causa.
- Dentro de 24 horas: Apresentar um aviso prévio à autoridade nacional competente. Não precisa ser um relatório completo, mas deve chegar ao regulador. Conteúdo necessário: notificação básica de que ocorreu ou há suspeita de um incidente significativo, avaliação inicial sobre se parece ser criminoso ou transfronteiriço e quaisquer impactos imediatos identificados.
- Within 72 hours: Envie uma notificação de incidente completa. Isto deve incluir uma avaliação atualizada do incidente, a sua gravidade, os indicadores de comprometimento, se conhecidos, e as medidas que a sua organização tomou ou iniciou.
- Dentro de um mês: Envie um relatório final. Isto abrange a descrição detalhada do incidente, a análise da causa raiz, as ações de remediação tomadas, qualquer impacto transfronteiriço e as lições aprendidas.
O ponto de falha para a maioria das organizações não é o relatório de 72 horas ou de um mês. É o aviso prévio de 24 horas. As organizações que não possuem um caminho de escalonamento definido desde a detecção até a decisão de notificação perdem consistentemente esta janela. O seu plano de resposta a incidentes deve nomear a pessoa responsável por tomar a decisão de notificação, definir o que significa "incidente significativo" no seu contexto e incluir os dados de contacto da sua autoridade nacional. Essa informação não pode estar em um documento que ninguém consegue encontrar às 2h da manhã de um domingo.
O NIS2 define um incidente significativo como aquele que causa, ou é capaz de causar, interrupção operacional grave, perda financeira ou outro impacto material na sua organização ou em outras pessoas. Os Estados-Membros fornecem orientações adicionais sobre os limiares. Se você não conseguir definir o que significa “significativo” em seu contexto antes que um incidente ocorra, você passará as primeiras 24 horas discutindo internamente sobre se deve notificar e perderá a janela.
Uma constatação de conformidade separada pode resultar da perda de cada etapa do cronograma de relatório. Três etapas perdidas em um único incidente geram três falhas de conformidade distintas. Os reguladores tratam a obrigação de comunicação como independente do facto de o incidente subjacente reflectir uma falha de segurança: mesmo que os seus controlos fossem adequados, não comunicar correctamente um incidente significativo é, em si, uma violação.
O que priorizar se você ainda não começou
Se a sua organização se enquadra no âmbito da NIS2 e não iniciou um programa de conformidade, tentar abordar todas as 18 medidas de uma só vez produzirá um progresso lento em todas as frentes. Comece com as três áreas que oferecem maior cobertura e posição mais forte caso um regulador pergunte o que você fez:
1. Registro de riscos
Crie um registro de riscos datado e estruturado que nomeie seus ativos críticos, documente as ameaças a eles, avalie a probabilidade e o impacto, identifique lacunas de controle e atribua proprietários. Os reguladores solicitam isso primeiro. Envolva a TI, as operações e um patrocinador da alta administração na sua construção. Um registro de riscos que sua equipe de operações nunca viu não é um registro de riscos: é um documento.
2. Plano de resposta a incidentes
Escreva e teste um plano de resposta a incidentes que cubra detecção, escalonamento, notificação (incluindo os cronogramas de relatórios NIS2 e detalhes de contato da autoridade supervisora relevante), contenção, recuperação e revisão pós-incidente. Atribua nomes a pessoas, não a cargos. Faça um exercício de mesa. Encontrar lacunas em um exercício custa muito menos do que perder a janela de notificação de 24 horas durante um incidente real.
3. Revisão da segurança da cadeia de abastecimento
Identifique seus fornecedores críticos: aqueles cuja falha ou comprometimento interromperia suas operações ou desencadearia um incidente reportável. Avalie sua postura de segurança por meio de questionários, termos contratuais ou relatórios de garantia de terceiros. Os reguladores aceitam que a segurança da cadeia de abastecimento leva tempo a construir. Eles querem ver um programa documentado com evidências de progresso, e não uma solução completa.
Estas três áreas não substituem todo o programa de segurança do artigo 21.º. Eles fornecem o caminho mais rápido para uma posição defensável se um regulador entrar em contato com você nos próximos meses.
O que isso significa para sua organização
As autoridades nacionais estão actualmente a realizar inspecções. A sua organização pode estar atrasada no programa de conformidade, mas as primeiras conclusões das auditorias de outras organizações mostram exactamente no que os reguladores se concentram e o que gera as conclusões. Isso é inteligência útil. Use-o.
- Confirme a classificação da sua entidade (essencial ou importante) e identifique qual autoridade nacional de supervisão tem jurisdição sobre o seu setor. Isto determina o seu modelo de supervisão e o limite máximo aplicável.
- Produza ou atualize seu registro de riscos com aprovação do conselho e um cronograma de revisão claro. Namore. Faça uma versão.
- Escreva seu plano de resposta a incidentes de acordo com os cronogramas de notificação do NIS2. Teste. Armazene-o em algum lugar que todos com uma função possam acessar durante um incidente.
- Conduza uma avaliação básica de segurança do fornecedor abrangendo seus principais fornecedores críticos. Documente sua metodologia e suas descobertas.
- Obtenha aprovação formal da gestão sobre a política de segurança cibernética. Certifique-se de que o seu conselho compreende que a NIS2 cria responsabilidade pessoal para os diretores, e não apenas responsabilidade organizacional para a empresa.
- Agende uma avaliação de lacunas em relação a todas as 18 medidas do Artigo 21. O resultado fornece um roteiro de remediação priorizado e serve como evidência de um programa de governança funcional se um auditor perguntar o que sua organização tem feito.
Cyvra trabalha com organizações em todas as fases do processo de conformidade NIS2, desde o escopo inicial e avaliações de lacunas até o desenvolvimento de políticas, revisões da cadeia de suprimentos e planejamento de resposta a incidentes. Se você precisar de um ponto de partida estruturado ou de uma segunda opinião sobre sua postura atual, fale com nossa equipe de compliance.
Como Cyvra ajuda com NIS2
Cyvra trabalha com entidades essenciais e importantes na Holanda e no Reino Unido para construir a base de evidências que os reguladores esperam. Nossos trabalhos abrangem toda a trilha de auditoria: registros de riscos, documentação de governança, planos de resposta a incidentes e análises de segurança da cadeia de suprimentos com escopo de acordo com o que sua autoridade supervisora realmente buscará.
Se a sua organização ainda não começou, priorizamos primeiro as áreas que produzem mais resultados de auditoria. Se você já concluiu uma autoavaliação inicial, identificamos as lacunas restantes e as eliminamos antes da chegada de uma inspeção formal.
- Avaliação de lacunas NIS2: identifique quais das 18 medidas exigidas você possui e quais precisam de documentação ou implementação
- Criação de registro de risco: construir um processo de gestão de risco documentado que atenda primeiro à verificação padrão das autoridades de supervisão
- Planejamento de resposta a incidentes: escrever e testar um plano que atenda à janela de alerta antecipado de 24 horas e ao requisito de acompanhamento de 72 horas
- Revisão de segurança da cadeia de suprimentos: avalie o risco de terceiros e produza os controles documentados sobre os quais os auditores mais perguntam
- Documentação de governança: produzir registros em nível de conselho que mostrem o envolvimento ativo da gestão, e não apenas uma política assinada pela TI
Fale com nosso equipe de auditorias e compliance ou nosso prática de segurança cibernética sobre a posição da sua organização.