Depois de ler, poderá perceber se a NIS2 se aplica a si e que obrigações daí decorrem.
Definição
Substitui a primeira diretiva NIS e aplica-se através de leis nacionais, que deviam estar prontas até 17 de outubro de 2024. Como cada Estado-Membro escreve a sua, os pormenores variam de país para país.
Os anexos I e II listam os setores, entre eles energia, transportes, saúde, infraestruturas digitais, alimentação e fabrico de certos produtos. As entidades são classificadas como essenciais ou importantes, uma distinção que afeta sobretudo a supervisão e as coimas máximas.
Porque é importante
O artigo 20 leva o tema ao conselho de administração. O órgão de direção tem de aprovar as medidas, supervisionar a sua aplicação e frequentar formação, e pode ser responsabilizado por falhas.
O artigo 34 fixa o teto das coimas em pelo menos 10 milhões de euros ou 2 % do volume de negócios mundial para as entidades essenciais, e 7 milhões de euros ou 1,4 % para as importantes.
Como funciona
Comece pelo âmbito: o seu setor, a sua dimensão e a sua lei nacional. Em geral a diretiva abrange empresas médias e grandes, enquanto certas entidades ficam abrangidas seja qual for a sua dimensão. Registe-se junto da autoridade nacional quando a lei o exigir.
Aplique depois as medidas do artigo 21, que seguem uma abordagem de todos os riscos e devem ser proporcionais ao risco.
Por fim, organize as notificações do artigo 23: um alerta precoce em 24 horas, uma notificação em 72 horas e um relatório final no prazo de um mês.
Um caso prático
Um fabricante alimentar com 300 trabalhadores encontra a produção e distribuição de alimentos no anexo II e conclui que é uma entidade importante. O seu conselho aprova as medidas e frequenta a formação.
O seu processo de incidentes ganha duas coisas: uma pessoa designada que decide se um incidente é significativo e os contactos do CSIRT nacional.
Boas práticas
- Leia a lei nacional além da diretiva, porque os prazos e o registo diferem.
- Ensaie o alerta das 24 horas. É mais curto do que parece quando as primeiras horas servem para perceber o que aconteceu.
- Se já aplica a ISO/IEC 27001, apoie-se nela e verifique o que falta.
Erros frequentes
- Presumir que ficar fora da primeira diretiva NIS significa ficar fora da NIS2. O âmbito cresceu consideravelmente.
- Deixá-la à informática, quando a responsabilidade recai sobre a direção.
- Ignorá-la por estar fora do âmbito. Os clientes abrangidos vão transmitir as suas exigências por contrato.
- Esperar por um incidente para saber quem o notifica.
Perguntas
- A NIS2 aplica-se às pequenas empresas?
- Em geral não, mas o artigo 2 abrange certas entidades seja qual for a dimensão, como alguns fornecedores de infraestruturas digitais ou o único fornecedor de um serviço crítico.
- Qual a diferença entre entidades essenciais e importantes?
- As essenciais estão sujeitas a supervisão proativa e a coimas máximas mais elevadas. As importantes são supervisionadas sobretudo a posteriori. As medidas são as mesmas.
- A ISO 27001 chega para a NIS2?
- Cobre grande parte do artigo 21. Os prazos de notificação de incidentes, o registo e as regras nacionais exigem ainda assim atenção própria.
- Existe um certificado NIS2 oficial?
- A diretiva não cria nenhum certificado geral. Os Estados-Membros podem exigir certos esquemas europeus de certificação.
- O que conta como incidente significativo na NIS2?
- Segundo o artigo 23, aquele que causou ou pode causar uma perturbação operacional grave ou perdas financeiras, ou danos consideráveis a terceiros.