A NIS 2 A fim de estabelecer a norma para a cibersegurança na União Europeia, as empresas de vários setores têm de apresentar provas da sua estratégia de segurança. A contagem decrescente está a começar e é altura de nos prepararmos juntos!
Desde 18 de outubro de 2024 que a nova diretiva da UE relativa à cibersegurança – a NIS 2 – é obrigatória. Este regulamento vinculativo estabelece a norma para a cibersegurança em toda a União Europeia e obriga as empresas de vários setores a documentar a sua estratégia de segurança.
As empresas são chamadas a agir a esse nível.
O que é a NIS 2?
Com a NIS 2 (Segurança das Redes e da Informação), a UE introduziu regulamentos rigorosos em matéria de cibersegurança para os seus Estados-Membros. A NIS 2 é a sucessora da Diretiva NIS, que entrou em vigor em 2016. A implementação de uma estratégia de segurança abrangente já não é, portanto, apenas necessária para proteger contra ciberataques, mas também exigida por lei.
Os Estados-Membros deverão ter adotado as medidas necessárias para dar cumprimento à Diretiva NIS 2 até 17 de outubro de 2024 e aplicar essas medidas a partir de 18 de outubro de 2024.
Em que é que a NIS 1 difere da NIS 2?
A Diretiva NIS 2 é uma versão otimizada da Diretiva NIS de 2016, que já se destinava a garantir um elevado nível de segurança das redes e dos sistemas de informação na União, mas que apresentava algumas deficiências.
As diferenças mais importantes entre a NIS 1 e a NIS 2 são:
-
A nova versão inclui mais sectores e empresas essenciais para a sociedade e a economia, como a energia, os cuidados de saúde, os transportes e as infraestruturas digitais.
-
A NIS 2 exige que as empresas e organizações em causa efetuem uma gestão eficaz dos riscos e comuniquem ciberincidentes graves ou significativos às autoridades nacionais competentes, que podem então tomar as medidas necessárias. A NIS 1 apenas forneceu orientações gerais para as medidas de segurança e a comunicação de incidentes.
-
A nova Diretiva Segurança prevê sanções mais rigorosas para os Estados-Membros, que podem ir até 20 milhões de euros ou quatro por cento do volume de negócios global, se as empresas e organizações em causa não aplicarem as medidas de segurança necessárias ou não comunicarem ciberincidentes graves ou significativos às autoridades nacionais competentes. A NIS 1 deixou a determinação das sanções a cargo dos Estados-Membros, o que levou a uma aplicação incoerente.
-
A NIS 2 sublinha a responsabilidade pessoal da direção no que diz respeito à cibersegurança e estipula que, pela primeira vez, os gerentes são responsáveis com os seus bens pessoais se não cumprirem os requisitos legais.
Quem é afetado?
Que empresas são obrigadas a aplicar a Diretiva NIS 2?
Organizações essenciais: são as organizações que desenvolvem atividades no domínio das infraestruturas críticas. Estas incluem, por exemplo, a energia, os transportes, a gestão de recursos hídricos, os cuidados de saúde e a banca.
Organizações importantes: esta categoria inclui as principais empresas das indústrias alimentar e química, bem como as responsáveis pelo fabrico de aparelhos elétricos, máquinas e veículos.
Além disso, os próprios Estados-Membros têm a possibilidade de alargar os grupos-alvo afetados pela NIS 2. Os Estados-Membros podem acrescentar outras organizações às suas listas nacionais, obrigando as autoridades locais, os estabelecimentos de ensino e outros a aplicar as orientações.
Quais são as sanções?
A Diretiva NIS 2 é rigorosamente aplicada, incluindo pesadas multas por incumprimento ou não cumprimento das obrigações de comunicação. O montante das sanções depende da classificação das empresas individuais.
As empresas classificadas como "importantes" têm de pagar coimas entre 7 milhões de euros e um máximo de 1,4% do seu volume de negócios anual global no exercício financeiro anterior. As "empresas essenciais" podem ser objeto de coimas até 10 milhões de euros ou um máximo de 2% do seu volume de negócios anual global.
A devida diligência no domínio da cibersegurança não é negociável e a gestão de topo tem o dever de liderar a implementação e monitorização destas medidas de cibersegurança.
O que significa isto em concreto para si?
A Diretiva NIS 2 é uma diretiva da UE que entrou em vigor a 16 de janeiro de 2023 e visa melhorar a cibersegurança e a ciberresiliência das infraestruturas críticas e dos prestadores de serviços digitais. A diretiva exige que as empresas e organizações em causa adiram a uma gestão eficaz dos riscos e comuniquem ciberincidentes graves ou significativos às autoridades nacionais competentes, que podem então tomar as medidas necessárias. A fim de minimizar os danos potenciais para os utilizadores, o ambiente e a ordem pública, o objetivo é identificar as falhas de segurança numa fase precoce e tomar medidas preventivas. Para garantir que todas as partes envolvidas aderem aos mesmos padrões elevados, as empresas são também responsáveis por garantir a segurança de toda a cadeia de abastecimento e transmitir os requisitos aos seus parceiros comerciais e fornecedores. Outras medidas incluem, entre outras:
-
A implementação de medidas de segurança adequadas e proporcionadas que respeitem as normas atuais e as melhores práticas para garantir a confidencialidade, a integridade, a disponibilidade e a autenticidade dos seus dados e serviços.
-
A criação e atualização de um plano de continuidade das atividades que permita o restabelecimento das condições normais de funcionamento após um ciberincidente.
-
Para evitar o acesso não autorizado, a introdução da autenticação multifator para o acesso às suas redes e sistemas de informação.
A Agência da UE para a Cibersegurança (ENISA) desempenhará um papel fundamental no acompanhamento e apoio à aplicação destes atos jurídicos.
Calendário da NIS 2
A Diretiva NIS 2 entrou em vigor a 16 de janeiro de 2023 e deveria ser transposta para o direito nacional até 17 de outubro de 2024. A implementação da diretiva será revista pela Comissão a cada 36 meses, a começar em 17 de outubro de 2027.
Chegou a altura de se tornar ativo e de se preparar.
A NIS 2 já entrou em vigor a 16 de janeiro de 2023
O nosso conceito de segurança a 360° completo
Segurança a 360° – a nossa oferta completa, sem cedências
No mundo dinâmico da cibersegurança, a mudança é uma constante e a introdução da Diretiva NIS 2 sublinha este facto. Enquanto aguardamos que a diretiva seja transposta para o direito nacional para produzir plenos efeitos, a urgência de agir é inegável.
Para cumprir os requisitos rigorosos da NIS 2, temos de nos basear em normas europeias e internacionais, que constituem a nossa base. Estas normas não só definem produtos seguros, como também estabelecem os princípios para a implementação de sistemas de segurança sólidos. Um exemplo notável é a IEC 62443, uma série de normas mundialmente reconhecidas para a segurança na automação. O nosso conceito de segurança abrangente a 360° inclui medidas técnicas e organizacionais que são apoiadas pelas respetivas certificações IEC 62443.