NIS 2: o guia que substitui a sua monitorização jurídica.

Determinar se está abrangido e em que escalão

O âmbito é a questão que decide tudo o resto, por isso resolva-o primeiro e registe o raciocínio. A NIS 2 aplica-se a entidades que operam num dos 18 setores listados e que também cumprem um limiar de dimensão. A regra por defeito é o limiar das médias empresas: pelo menos 50 trabalhadores, ou volume de negócios anual e balanço superiores a 10 milhões de euros. Abaixo desse limiar fica normalmente fora, mas nem sempre: a diretiva inclui certos fornecedores independentemente da dimensão quando o serviço é suficientemente crítico (por exemplo, fornecedores de DNS, registos de domínios de topo, e alguns fornecedores de comunicações eletrónicas públicas e de serviços de confiança).

Os dois escalões, essenciais e importantes, não são duas listas à escolha. Decorrem do seu setor e dimensão. Os setores de alta criticidade (energia, transportes, banca, infraestruturas do mercado financeiro, saúde, água potável, águas residuais, infraestrutura digital, administração pública, espaço) produzem entidades essenciais nas dimensões maiores; os restantes setores listados, e as entidades menores nos de alta criticidade, são geralmente classificados como importantes. A consequência prática é a intensidade da supervisão, não um conjunto de obrigações mais brando: as medidas de segurança e os prazos de notificação são iguais para ambos os escalões.

Essenciais vs. importantes: onde os dois escalões realmente divergem

Ambos os escalões carregam as mesmas medidas do Artigo 21 e o mesmo relógio de notificação de incidentes. O que muda é como o regulador o vigia e o que pode fazer quando algo está errado. As entidades essenciais enfrentam supervisão proativa, ex ante: uma autoridade pode inspecionar e exigir provas sem esperar por um incidente. As entidades importantes são supervisionadas de forma reativa, ex post, ou seja, o escrutínio segue-se tipicamente a um incidente ou a uma queixa credível. Os tetos das sanções também diferem, e essa diferença é a razão mais citada para confirmar cedo o seu escalão.

Leia a tabela como um auditor o fará: as medidas e os prazos são inegociáveis para todos, por isso o escalão diz-lhe sobretudo quanta margem de erro tem antes de alguém vir procurar. As entidades essenciais devem partir do princípio de que uma inspeção pode acontecer numa terça-feira calma. As entidades importantes devem partir do princípio de que o primeiro teste real será um incidente em direto, que é o pior momento para descobrir que as suas provas são frágeis.

As dez medidas do Artigo 21, e porque é que a ISO 27001 é a resposta habitual

O Artigo 21(2) enumera dez categorias de medidas de gestão de riscos de cibersegurança que todas as entidades abrangidas têm de implementar, de forma proporcional à sua exposição ao risco. A diretiva descreve resultados, não controlos, o que é deliberado: diz-lhe o que tem de ser coberto e deixa o como a seu cargo.

1. Políticas de análise de riscos e de segurança dos sistemas de informação.
2. Tratamento de incidentes (deteção, resposta e as obrigações de notificação abaixo).
3. Continuidade das atividades, incluindo gestão de cópias de segurança e recuperação de desastres, e gestão de crises.
4. Segurança da cadeia de abastecimento, cobrindo a segurança das relações com fornecedores diretos e prestadores de serviços.
5. Segurança na aquisição, desenvolvimento e manutenção de sistemas de rede e de informação, incluindo o tratamento e a divulgação de vulnerabilidades.
6. Políticas e procedimentos para avaliar a eficácia das medidas.
7. Práticas básicas de higiene cibernética e formação em segurança.
8. Políticas e procedimentos de criptografia e, sempre que adequado, de cifragem.
9. Segurança dos recursos humanos, políticas de controlo de acessos e gestão de ativos.
10. Autenticação multifator, comunicações seguras e comunicação de emergência segura, sempre que adequado.

Leia essa lista ao lado de um conjunto de controlos do Anexo A e a sobreposição é óbvia. É por isso que, na prática, a via mais comum para uma conformidade demonstrável é um sistema de gestão da segurança da informação ISO 27001. A NIS 2 nomeia os resultados; a ISO 27001 dá-lhe o sistema de gestão, a disciplina de tratamento do risco e as provas documentadas que mapeiam em nove das dez categorias sem muita tradução. Não precisa estritamente de um certificado para satisfazer a NIS 2, mas a estrutura do ISMS é a forma mais limpa de produzir os registos que uma autoridade espera.

A forma mais rápida de uma equipa interiorizar tanto a obrigação como a construção é combinar a visão regulatória com a visão de implementação: o curso NIS 2 Directive Lead Implementer para o programa em si, e o curso ISO 27001 Lead Implementer para erguer o ISMS que carrega a maior parte do peso do Artigo 21.

O relógio de notificação: 24 horas, 72 horas, um mês

A obrigação de notificação é desencadeada por um incidente significativo, ou seja, um que causou ou é suscetível de causar uma perturbação operacional grave ou perda financeira, ou que afetou terceiros através de danos materiais ou imateriais consideráveis. O relógio corre então em três fases até ao seu CSIRT nacional ou autoridade competente.

• 24 horas: um alerta precoce. Indique se suspeita que o incidente é ilícito ou malicioso e se poderia ter impacto transfronteiriço. Isto é um sinalizador, não um relatório forense.
• 72 horas: uma notificação de incidente. Atualize o alerta precoce com uma avaliação inicial, incluindo gravidade, impacto e quaisquer indicadores de comprometimento que tenha.
• Um mês: um relatório final. Um relato completo do incidente, a sua provável causa raiz, a mitigação aplicada e qualquer impacto transfronteiriço. Se o incidente ainda estiver em curso ao fim de um mês, fornece um relatório de progresso e um final quando encerrar.

Os prazos parecem generosos até os mapear contra um incidente real. O alerta de 24 horas chega enquanto ainda está a confirmar o que aconteceu, por isso o percurso tem de ser definido com antecedência: quem decide que um incidente é "significativo", quem redige o alerta precoce, quem tem autoridade para o submeter, e a que portal ou contacto vai em cada Estado-Membro onde opera. Ensaie-o. Um exercício de simulação que termina com um rascunho de alerta precoce escrito contra o relógio vale mais do que qualquer documento de política sobre notificação.

Responsabilidade da gestão e os erros que aparecem na sala de auditoria

A NIS 2 sobe a prestação de contas. Os órgãos de gestão têm de aprovar as medidas de gestão de riscos de cibersegurança, supervisionar a sua implementação e frequentar formação para poderem identificar riscos por si próprios. A não conformidade pode imputar-se a indivíduos identificados e, no caso das entidades essenciais, as autoridades podem impor proibições temporárias a indivíduos que exercem funções de gestão. O conselho de administração está em causa, e "o CISO trata da segurança" já não é uma resposta completa para um regulador.

As falhas recorrentes que vemos raramente são exóticas. São previsíveis, e são evitáveis:

• Tratar a transposição como uniforme. A diretiva é transposta para o direito nacional e o calendário, os limiares, os deveres de registo e os portais de notificação variam por país. Verifique a autoridade nacional de cada Estado-Membro onde opera antes de presumir que o texto da UE se aplica tal como está.
• Ignorar o dever de registo e autoidentificação. Muitos Estados-Membros exigem que as entidades abrangidas se registem junto da autoridade competente. Estar abrangido e não registado é, por si só, uma constatação, separada de qualquer lacuna de segurança.
• Subinvestir na segurança da cadeia de abastecimento. É uma das dez medidas, e é onde as maiores entidades estão mais expostas. Um processo fraco de risco de fornecedores é uma fraqueza visível.
• Confundir escalões com obrigações. As entidades importantes por vezes presumem que uma supervisão mais leve significa deveres mais leves. Não significa: aplicam-se as mesmas medidas e o mesmo relógio de notificação.
• Nenhum percurso de notificação ensaiado. O alerta de 24 horas é a obrigação mais frequentemente falhada, porque ninguém assumiu a decisão e o rascunho até que o incidente os forçou.

Se a sua equipa precisa de se orientar quanto ao âmbito, escalões e obrigações antes de se comprometer com uma construção, o curso NIS 2 Directive Foundation é o ponto de partida certo; avance para o Lead Implementer e para os percursos ISO 27001 quando estiver a definir o âmbito do programa em si.

A NIS 2 interage com outros regimes da UE (o DORA rege a resiliência operacional do setor financeiro e geralmente tem precedência aí como regra mais específica; o Regulamento Inteligência Artificial acrescenta as suas próprias obrigações para os sistemas de IA), por isso confirme qual o regime que lidera uma dada obrigação em vez de notificar o mesmo incidente duas vezes ou, pior, não o notificar de todo. Em caso de dúvida, a postura segura é a que a própria diretiva recompensa: decisões documentadas, um mapeamento de controlos mantido e um percurso de notificação que já tenha percorrido antes de precisar dele.