A quem se aplica a NIS2? Setores, porte e tipos de entidade

O que é

A NIS2 (Diretiva (UE) 2022/2555) lista os setores abrangidos em dois anexos. O Anexo I abrange setores de alta criticidade: energia, transportes, setor bancário, infraestruturas do mercado financeiro, saúde, água potável, águas residuais, infraestrutura digital, gestão de serviços de TIC (entre empresas), administração pública e espaço. O Anexo II abrange outros setores críticos: serviços postais e de courier, gestão de resíduos, fabricação e distribuição de produtos químicos, produção e distribuição de alimentos, fabricação de determinados produtos (como dispositivos médicos, computadores e eletrônicos, equipamentos elétricos, máquinas e veículos), provedores digitais (marketplaces on-line, mecanismos de busca e plataformas de redes sociais) e pesquisa. Como regra geral, a diretiva se aplica a organizações de médio e grande porte nesses setores; pela definição de PME da UE, uma organização é, em linhas gerais, pelo menos de médio porte se tiver 50 ou mais funcionários, ou se tanto seu faturamento anual quanto seu balanço total excederem EUR 10 milhões. Algumas entidades são abrangidas independentemente do porte, como determinados provedores de comunicações eletrônicas públicas, prestadores de serviços de confiança, provedores de serviços de DNS e registros de domínios de topo, e os Estados-Membros podem designar outras. As organizações abrangidas são classificadas como entidades essenciais ou importantes. Em linhas gerais, as grandes organizações dos setores do Anexo I são essenciais, enquanto as organizações de médio porte do Anexo I e as do Anexo II são importantes, observadas as regras independentes de porte e a designação nacional. A classificação afeta a supervisão e as sanções, e não as medidas básicas esperadas.

Para Quem É

Este guia é útil para:

• Gestores de empresas de médio porte nas cadeias de suprimentos de manufatura, logística, serviços digitais, alimentos, produtos químicos ou saúde
• Provedores de serviços gerenciados e de TIC que atendem clientes empresariais
• Fornecedores de entidades abrangidas que estão recebendo questionários de segurança
• Grupos que atuam em vários Estados-Membros da UE e precisam de uma visão consistente

O Que Isso Ajuda A Esclarecer

Analisar a estrutura do escopo ajuda a esclarecer:

• Se alguma de suas atividades corresponde a um setor do Anexo I ou do Anexo II
• Se você atinge o limite de porte ou se enquadra em uma categoria abrangida independentemente do porte
• Quais legislações e autoridades nacionais dos Estados-Membros são relevantes
• Se suas obrigações são diretas ou surgem indiretamente por meio de contratos com clientes

O que está incluído

• Liste todas as atividades e linhas de serviço, e não apenas a descrição principal do negócio
• Compare cada atividade com as descrições de setores do Anexo I e do Anexo II
• Verifique o número de funcionários, o faturamento e o balanço, considerando a estrutura do grupo e as empresas parceiras ou associadas, como exige a definição de PME da UE
• Identifique todos os Estados-Membros em que você presta serviços abrangidos ou tem estabelecimentos
• Verifique a lei nacional de transposição e as orientações das autoridades em cada país relevante
• Registre o resultado, a fundamentação e a data, e revise-os quando seu negócio mudar
• Se estiver fora do escopo, liste os clientes que estão no escopo e os requisitos de segurança que eles repassam

O que não está incluído

• Uma determinação jurídica sobre se a NIS2 se aplica à sua organização
• A interpretação de uma lei nacional de transposição específica
• Registro junto às autoridades em seu nome
• Certificação ou aprovação de conformidade

Quando Escolher

Use este guia logo no início, antes de investir em um programa amplo, e novamente sempre que entrar em um novo setor ou país, adquirir uma empresa ou ultrapassar um limite de porte. Se a resposta não for clara, por exemplo porque uma atividade está no limite de uma descrição de setor, busque aconselhamento jurídico em vez de fazer suposições. Mesmo organizações fora do escopo direto costumam se beneficiar da preparação, porque os clientes abrangidos precisam gerir os riscos de sua cadeia de suprimentos. Este artigo contém informações gerais e não constitui aconselhamento jurídico.

Nossa abordagem

Trate o escopo como uma decisão documentada, e não como um rápido sim ou não. Reúna primeiro os fatos: atividades, dados de porte, estrutura do grupo e países. Em seguida, leve a questão aos assessores jurídicos com essas evidências. Paralelamente, analise as medidas de segurança que a NIS2 espera; elas refletem boas práticas amplamente reconhecidas, portanto melhorá-las é útil independentemente da resposta à questão do escopo. Nosso serviço Security Baseline Review pode oferecer uma visão escrita dos ativos acordados e observações classificadas por severidade, com observações de lacunas de preparação em relação a uma referência acordada, quando incluídas no escopo confirmado. Essas evidências podem apoiar conversas com clientes, gestão e assessores. Trata-se de material de apoio à decisão que ajuda você a levar perguntas objetivas aos assessores jurídicos e, quando pertinente, aos organismos de certificação. Se você é fornecedor, pergunte aos seus clientes abrangidos quais controles específicos eles precisam que você demonstre e priorize esses controles.

Security Baseline Review

Perguntas Frequentes

Artigos relacionados