Depois de ler, poderá percorrer as medidas da diretiva linha a linha e registar a lacuna, o responsável e a evidência.
Definição
O artigo 21.º, n.º 2, enumera dez medidas nas alíneas a) a j): análise de riscos e políticas de segurança; tratamento de incidentes; continuidade das atividades com cópias de segurança e gestão de crises; segurança da cadeia de abastecimento; segurança na aquisição, desenvolvimento e manutenção, incluindo o tratamento de vulnerabilidades; avaliação da eficácia; ciber-higiene e formação; criptografia; segurança dos recursos humanos, controlo de acessos e gestão de ativos; e autenticação multifator com comunicações seguras.
Porque é importante
Um texto jurídico longo transforma-se em pontos que se podem atribuir, verificar e mostrar a uma autoridade.
Ainda assim, cada ponto exige critério. O artigo 21.º, n.º 1, liga as medidas à exposição da empresa, à sua dimensão e à gravidade dos incidentes possíveis, pelo que a mesma linha pode significar trabalho diferente para duas empresas.
Como funciona
Confirme o estatuto da entidade segundo a lei nacional. Faça aprovar as medidas pelo órgão de direção e agende a sua formação.
Percorra as dez medidas. Para cada uma, registe o que existe, o que o comprova, o que falta, quem é responsável e até quando.
Prepare a notificação no fim: critérios de incidente significativo, uma pessoa de piquete, o contacto do CSIRT ou da autoridade e mensagens redigidas para as etapas de 24 horas, 72 horas e um mês.
Um caso prático
Alínea d), cadeia de abastecimento. A empresa conta 12 fornecedores críticos. Sete contratos incluem cláusulas de segurança, e três fornecedores foram avaliados nos últimos 12 meses.
Faltam cinco contratos e nove avaliações. O responsável de compras fica com essa tarefa, até ao fim do terceiro trimestre. A lista de fornecedores e as cláusulas assinadas servirão de evidência, e por agora a linha indica «implementado em parte».
Boas práticas
- Mantenha o texto da diretiva ao lado da sua própria explicação, para que um revisor possa verificar a interpretação.
- Acrescente os requisitos da sua lei nacional como linhas adicionais.
- Peça uma evidência por linha.
- Faça um exercício de notificação e cronometre-o a partir do primeiro alerta.
Erros frequentes
- Assinalar uma linha porque existe uma política. A autoridade vai perguntar o que acontece na prática.
- Esquecer o artigo 20.º, porque uma lista feita pela informática tende a ficar pelas medidas técnicas.
- Omitir o registo junto da autoridade, que está fora do artigo 21.º e passa facilmente despercebido.
- Começar a contar as 24 horas no fim da investigação. O prazo corre a partir do momento em que se toma conhecimento do incidente.
Perguntas
- Quantas medidas enumera o artigo 21.º?
- Dez, nas alíneas a) a j) do seu n.º 2.
- A autenticação multifator é obrigatória na NIS2?
- O artigo 21.º, n.º 2, alínea j), refere soluções de autenticação multifator ou de autenticação contínua, se for caso disso.
- Quais são os três prazos de notificação da NIS2?
- Um alerta precoce nas 24 horas após tomar conhecimento, uma notificação em 72 horas e um relatório final no mês seguinte à notificação.
- Os administradores têm de fazer formação NIS2?
- Sim. O artigo 20.º, n.º 2, exige que os membros dos órgãos de direção frequentem formação e incentiva as entidades a oferecê-la aos seus trabalhadores.
- Há regras mais detalhadas para os fornecedores digitais?
- Sim. O Regulamento de Execução (UE) 2024/2690 fixa requisitos técnicos para certos fornecedores digitais, como os de serviços de computação em nuvem e de serviços geridos.