Preparação para a NIS2: checklist prático para empresas

O que é

Estar preparado para a NIS2 significa entender se e como a diretiva se aplica a você e, em seguida, estruturar e documentar as medidas de governança, técnicas e organizacionais que ela espera. O Artigo 21 lista as áreas das medidas de gestão de riscos de cibersegurança, incluindo análise de riscos e políticas de segurança, tratamento de incidentes, continuidade de negócios e gestão de crises, segurança da cadeia de suprimentos, segurança na aquisição e no desenvolvimento, incluindo o tratamento de vulnerabilidades, avaliação da eficácia das medidas, práticas básicas de ciber-higiene e treinamento, criptografia, segurança de recursos humanos e controle de acesso, e autenticação multifator ou contínua. O Artigo 20 atribui aos órgãos de administração a responsabilidade de aprovar e supervisionar essas medidas. O Artigo 23 estabelece uma notificação de incidentes em etapas à autoridade competente ou ao CSIRT: um alerta precoce em até 24 horas após tomar conhecimento de um incidente significativo, uma notificação do incidente em até 72 horas e um relatório final em até um mês após a notificação do incidente. A legislação nacional pode acrescentar detalhes e, para determinados provedores digitais, como provedores de nuvem, de data center, de serviços gerenciados e de DNS, o Regulamento de Execução (UE) 2024/2690 da Comissão detalha os requisitos técnicos.

Para Quem É

Este checklist é destinado a:

• Organizações de médio e grande porte em setores abrangidos pela NIS2 que estão avaliando sua situação
• Fornecedores de entidades abrangidas que estão recebendo questionários de segurança relacionados à NIS2
• Equipes de gestão que precisam de uma visão estruturada do que discutir com assessores jurídicos e técnicos
• Líderes de TI e de segurança que preparam uma análise de lacunas e um roteiro

O Que Isso Ajuda A Esclarecer

Percorrer o checklist ajuda a esclarecer:

• Se a sua organização provavelmente está no escopo e qual autoridade nacional se aplica
• Onde os controles e a documentação atuais ficam aquém das medidas esperadas
• Quem na gestão é responsável e de qual treinamento essas pessoas precisam
• Quais lacunas tratar primeiro e quais exigem apoio especializado separado

O que está incluído

• Escopo: confirme o setor, o porte e os Estados-Membros em que você atua; registre o resultado e a fundamentação
• Registro: verifique se a legislação nacional exige que você se registre junto a uma autoridade e até quando
• Governança: nomeie um executivo responsável, acorde como a gestão aprova e revisa as medidas de segurança e planeje o treinamento da gestão
• Avaliação de riscos: documente os serviços críticos, os sistemas que os suportam e os principais riscos a que estão expostos
• Políticas: mantenha uma política de segurança da informação, regras de controle de acesso e orientações sobre criptografia
• Tratamento de incidentes: defina o que é um incidente significativo para você, quem decide e como serão preparados os relatórios de 24 horas, 72 horas e um mês
• Continuidade: teste backups e a recuperação dos serviços críticos e documente a comunicação em situações de crise
• Cadeia de suprimentos: liste os principais fornecedores de TIC, revise seus compromissos de segurança e inclua cláusulas de segurança nos contratos
• Desenvolvimento seguro e tratamento de vulnerabilidades: defina como as vulnerabilidades são reportadas, triadas e corrigidas
• Higiene e treinamento: realize treinamentos regulares de conscientização, aplique patches conforme o cronograma e exija MFA
• Eficácia: planeje revisões ou testes periódicos para demonstrar que as medidas funcionam

O que não está incluído

• Aconselhamento jurídico ou uma determinação de que você está ou não no escopo
• Certificação, aprovação de conformidade ou parecer oficial de auditoria
• Envio de relatórios ou registros às autoridades em seu nome
• A afirmação de que concluir o checklist atende à legislação nacional

Quando Escolher

Use este checklist ao avaliar a NIS2 pela primeira vez, quando a transposição nacional de um país onde você atua for publicada ou atualizada, ou quando um cliente pedir evidências de segurança alinhada à NIS2. Combine-o com aconselhamento jurídico sobre o escopo e os requisitos nacionais. Se você já mantém um programa baseado na ISO 27001, mapeie os controles existentes para o checklist antes de criar novos documentos. Este artigo contém informações gerais e não constitui aconselhamento jurídico.

Nossa abordagem

Comece pelo escopo e pela governança; o trabalho técnico sem o envolvimento da gestão tende a estagnar. Em seguida, faça uma análise de lacunas em relação às medidas, com base em evidências e não em suposições: configurações, logs, resultados de testes, contratos e registros de treinamento. Classifique as lacunas por risco e esforço e monte um roteiro com responsáveis e datas. Nosso serviço Security Baseline Review pode oferecer um ponto de partida documentado: uma visão escrita dos ativos acordados, observações classificadas por severidade e observações de lacunas de preparação em relação a uma referência acordada, quando incluídas no escopo confirmado. Ele apoia decisões internas e discussões com as partes interessadas com uma visão documentada da preparação, que você pode levar a organismos de certificação e assessores jurídicos. Para o tratamento de incidentes, ensaie o cronograma de notificação com um exercício de mesa (tabletop), para que o alerta precoce de 24 horas seja realista e não apenas teórico. Revise o roteiro à medida que as orientações nacionais evoluírem.

Security Baseline Review

Perguntas Frequentes

Artigos relacionados