Diretiva NIS2
Diretiva sobre a Segurança das Redes e Sistemas de Informação
Visão Geral
A NIS2 substitui e expande significativamente a Diretiva NIS original, estabelecendo um alto nível comum de cibersegurança em toda a UE. Aplica-se a uma gama muito mais ampla de setores e entidades, introduz medidas de supervisão mais rigorosas e harmoniza sanções entre os Estados-Membros.[1]
Como diretiva, a NIS2 exigiu transposição para a legislação nacional até 17 de outubro de 2024. A implementação varia conforme o Estado-Membro.
Âmbito: Entidades Essenciais vs Importantes
Entidades Essenciais (Maior Rigor)[2]
| Setor | Exemplos |
|---|---|
| Energia | Eletricidade, petróleo, gás, hidrogênio, aquecimento distrital |
| Transporte | Aéreo, ferroviário, aquaviário, rodoviário |
| Bancário | Instituições de crédito |
| Mercados financeiros | Locais de negociação, contrapartes centrais |
| Saúde | Prestadores de cuidados de saúde, laboratórios, farmacêuticas, dispositivos médicos |
| Água potável | Fornecedores de água |
| Águas residuais | Tratamento de águas residuais |
| Infraestrutura digital | IXPs, DNS, registros TLD, nuvem, centros de dados, CDNs, TSPs |
| Gestão de serviços TIC | Provedores de serviços gerenciados, provedores de serviços de segurança gerenciados |
| Administração pública | Entidades do governo central |
| Espaço | Operadores de infraestrutura terrestre |
Entidades Importantes (Rigor Menor)
| Setor | Exemplos |
|---|---|
| Serviços postais | Serviços postais e de courier |
| Gestão de resíduos | Coleta e tratamento de resíduos |
| Produtos químicos | Fabricação e distribuição |
| Alimentos | Produção e distribuição |
| Manufatura | Dispositivos médicos, eletrônicos, máquinas, veículos |
| Provedores digitais | Mercados online, motores de busca, redes sociais |
| Pesquisa | Organizações de pesquisa |
Limiares de Tamanho
A NIS2 aplica-se geralmente a entidades médias e grandes:
- Média: 50+ empregados OU €10M+ de faturamento/balanço
- Grande: 250+ empregados OU €50M+ de faturamento OU €43M+ de balanço
Algumas entidades aplicam-se independentemente do tamanho (DNS, registros TLD, provedores de nuvem, centros de dados, etc.).
Requisitos Principais
Medidas de Gestão de Risco (Artigo 21)[3]
As entidades devem implementar medidas técnicas, operacionais e organizacionais apropriadas:
- Políticas: Análise de risco e políticas de segurança dos sistemas de informação
- Gestão de incidentes: Procedimentos de deteção, resposta e recuperação
- Continuidade de negócios: Backup, recuperação de desastres, gestão de crises
- Segurança da cadeia de fornecimento: Requisitos de segurança para fornecedores
- Segurança de rede: Segurança na aquisição, desenvolvimento e manutenção
- Avaliação de eficácia: Políticas para avaliar a eficácia das medidas de segurança
- Higiene cibernética básica: Programas de formação e sensibilização
- Criptografia: Políticas sobre controlos criptográficos e encriptação
- Recursos humanos: Segurança do pessoal e controlos de acesso
- Autenticação multifator: MFA e sistemas de comunicação seguros
Comunicação de Incidentes (Artigo 23)[4]
| Prazo | Requisito |
|---|---|
| 24 horas | Alerta precoce ao CSIRT/autoridade competente |
| 72 horas | Notificação do incidente com avaliação inicial |
| 1 mês | Relatório final com causa raiz e mitigação |
Incidentes significativos devem ser reportados se causarem ou puderem causar perturbação operacional grave ou perda financeira, ou afetarem outras pessoas singulares ou coletivas.
Responsabilidade da Gestão
Órgãos de gestão devem:
- Aprovar medidas de gestão de risco de cibersegurança
- Supervisionar a implementação das medidas de segurança
- Ser pessoalmente responsáveis pelo não cumprimento
- Participar em formação em cibersegurança
Sanções
- Entidades essenciais: Até €10 milhões ou 2% do volume de negócios global
- Entidades importantes: Até €7 milhões ou 1,4% do volume de negócios global[5]
Os Estados-Membros podem impor sanções adicionais, incluindo proibições temporárias de gestão.
Obrigações para Desenvolvedores e Provedores de Serviços TIC
Se você fornece serviços ou produtos TIC:
- Provedores de Serviços Gerenciados: Diretamente no âmbito como entidades essenciais
- Provedores de Nuvem: Diretamente no âmbito como entidades essenciais
- Desenvolvedores de Software: Obrigações na cadeia de fornecimento para entidades clientes
- Vendedores de Segurança: Podem ser designados como entidades importantes