NIS2: Tudo sobre a nova diretiva de ci­ber­se­gu­rança da UE

Diretiva NIS2 (NIS2 Directive) é um re­gu­la­mento da União Europeia (UE) que busca for­ta­le­cer a segurança digital de seus estados-membros, in­tro­du­zindo deveres mais rigorosos para empresas e outras entidades. Entre os pontos prin­ci­pais da NIS2 estão a im­ple­men­ta­ção de medidas de proteção, a execução de inspeções pe­rió­di­cas de segurança e a im­ple­men­ta­ção de canais de no­ti­fi­ca­ção de in­ci­den­tes mais ágeis.

O que é a Diretiva NIS2?

A Diretiva NIS2, válida para os estados-membros da União Europeia, tem como objetivo melhorar a re­sis­tên­cia de in­fra­es­tru­tu­ras es­sen­ci­ais ou im­por­tan­tes contra ameaças ci­ber­né­ti­cas. Ao entrar em vigor em 16 de janeiro de 2023, ela subs­ti­tuiu a diretiva anterior, NIS1, que já havia in­tro­du­zido um moderno padrão de segurança de TI.

Para garantir a máxima proteção, tanto no setor público quanto privado, a Diretiva NIS2 es­ta­be­lece regras mais abran­gen­tes e rigorosas, para um grupo-alvo maior. Essa atu­a­li­za­ção, mais exigente, busca for­ta­le­cer a segurança ci­ber­né­tica, atuando mais efi­caz­mente contra ameaças digitais e lacunas de segurança. Além disso, a NIS2 pretende assegurar que entidades que for­ta­le­cem bens e serviços es­sen­ci­ais à população estejam pro­te­gi­das contra falhas e in­ter­rup­ções no fun­ci­o­na­mento, mesmo em situações de crise.

A principal missão da NIS2 é fazer com que empresas estejam mais bem pre­pa­ra­das para evitar ci­be­ra­ta­ques e reagir com efi­ci­ên­cia e agilidade a problemas de TI. Com uma es­tra­té­gia de segurança mais con­sis­tente, a diretiva visa a maximizar a ci­ber­se­gu­rança da União Europeia e servir de ins­pi­ra­ção in­ter­na­ci­o­nal. Todos os estados-membros da UE estão im­ple­men­tando a diretiva em suas res­pec­ti­vas le­gis­la­ções nacionais, o que afeta entidades de todos os tamanhos, desde que se enquadrem nas novas regras.

O que muda a Diretiva NIS2?

O dever de im­ple­men­tar a Diretiva NIS2 incorre em mudanças sig­ni­fi­ca­ti­vas para empresas e entidades da União Europeia, de 18 setores di­fe­ren­tes. Novidade em relação à diretiva anterior, mais que o dobro de setores foram clas­si­fi­ca­dos como es­sen­ci­ais. Além disso, multas por des­cum­pri­mento da diretiva tornaram-se mais pesadas e também podem ser aplicadas a gestores. Na Alemanha, que será usada como exemplo ao longo do artigo, a NIS2 afeta cerca de 40 mil empresas com mais de 50 fun­ci­o­ná­rios, ou seja, mais de 10 milhões de euros anuais em volume de negócios.

Este é o resumo das mudanças oca­si­o­na­das pela Diretiva NIS2:

• Ampliação do grupo de setores es­sen­ci­ais: A NIS2 clas­si­fica ainda mais setores como es­sen­ci­ais.
• Punições mais severas: A diretiva estipula multas subs­tan­ci­al­mente maiores por infrações.
• Res­pon­sa­bi­li­za­ção de gestores: Fun­ci­o­ná­rios em cargos de gestão passam a ser di­re­ta­mente res­pon­sá­veis pelo cum­pri­mento das normas de ci­ber­se­gu­rança.
• Maior campo de aplicação: A Diretiva NIS2 se aplica a empresas com mais de 50 fun­ci­o­ná­rios ou fa­tu­ra­mento anual superior a 10 milhões de euros, bem como a certas empresas in­de­pen­den­te­mente do seu tamanho.
• Obri­ga­to­ri­e­dade de análises de riscos: Empresas têm o dever de realizar análises de riscos mi­nu­ci­o­sas.
• Dever de gestão de riscos e de segurança: A NIS2 es­ta­be­lece exi­gên­cias rigorosas de gestão de riscos e de segurança. Diversas medidas de proteção, como testes de intrusão, firewalls de hardware e es­tra­té­gias de backup são obri­ga­tó­rias.
• Gestão de crises com­pul­só­ria: Para lidar com in­ci­den­tes de segurança, as empresas devem ter es­tra­té­gias de gestão de crises, canais de co­mu­ni­ca­ção e sistemas de no­ti­fi­ca­ção que funcionem com rapidez e eficácia.
• Uso dos pro­to­co­los de segurança exis­ten­tes: As empresas podem usar, como re­fe­rên­cia, os padrões de segurança já exis­ten­tes de setores re­gu­la­men­ta­dos.

O que a Diretiva NIS2 afeta?

A NIS2 distingue tipos de empresas, clas­si­fi­cando cada uma como “essencial” ou “im­por­tante” (a categoria im­por­tante é novidade). Empresas com mais de 50 fun­ci­o­ná­rios ou fa­tu­ra­mento anual igual ou superior a 10 milhões de euros são di­re­ta­mente afetadas pela definição. Há também empresas que podem se enquadrar na NIS2, in­de­pen­den­te­mente do tamanho: quando sua ino­pe­rân­cia implicar riscos sis­tê­mi­cos. A categoria essencial engloba empresas de onze setores, es­pe­ci­al­mente àquelas com in­fra­es­tru­tu­ras críticas, de im­por­tân­cia decisiva para a sociedade. Já a categoria im­por­tante se aplica a sete setores com re­le­vân­cia sistêmica.

Categoria essencial: Setores e empresas

• Energia
• Abas­te­ci­mento de água
• Trans­porte
• Ins­ti­tui­ções bancárias
• In­fra­es­tru­tu­ras do mercado fi­nan­ceiro
• Ins­ti­tui­ções de saúde
• Agências espaciais
• Esgotos
• Ad­mi­nis­tra­ção pública
• In­fra­es­tru­tura digital
• Gestão de serviços de TI e te­le­co­mu­ni­ca­ções (B2B)

Categoria im­por­tante: Setores e empresas

• Serviços postais e de entregas
• Coleta de lixo
• Indústria química
• For­ne­ci­mento de alimentos
• Pro­ve­do­res de serviços digitais
• Indústria (empresas de pro­ces­sa­mento ou fa­bri­ca­ção)
• Pesquisa (fa­cul­ta­tivo)

Que deveres a NIS2 es­ta­be­lece para empresas?

A NIS2 es­ta­be­lece deveres mais rigorosos e medidas sig­ni­fi­ca­ti­vas para as empresas, incluindo:

Como facilitar a im­ple­men­ta­ção da NIS2?

Para obedecer a diretiva desde o início, as empresas afetadas devem tomar as seguintes medidas:

• Análise da situação atual e ideal: Empresas afetadas pela NIS2 devem avaliar qual é a situação atual e qual o potencial de melhoria da sua re­si­li­ên­cia ci­ber­né­tica.
• Im­ple­men­ta­ção: Planos de análise de riscos e de segurança devem ser im­ple­men­ta­dos para todos os sistemas de TI.
• Avaliação: As empresas devem verificar re­gu­lar­mente a eficácia dos seus métodos de gestão de riscos.
• Pla­ne­ja­mento: As empresas têm o dever de elaborar um plano para lidar com in­ci­den­tes de segurança.
• Gestão de backup e de crise: É ne­ces­sá­rio im­ple­men­tar medidas para a re­a­li­za­ção de backups de dados e gestão de crises.
• Sistema de no­ti­fi­ca­ção: Deve ser criado um sistema eficaz de no­ti­fi­ca­ção de in­ci­den­tes de segurança.
• Trei­na­men­tos: Os fun­ci­o­ná­rios devem ser treinados re­gu­lar­mente.
• Segurança da cadeia de su­pri­men­tos: Deve-se garantir a segurança da cadeia de su­pri­men­tos.

O que pode acontecer com empresas que não im­ple­men­ta­rem a NIS2?

Empresas que não im­ple­men­ta­rem as medidas es­ti­pu­la­das estão sujeitas a multas con­si­de­rá­veis (§65). A NIS2 concede aos órgãos fis­ca­li­za­do­res poderes abran­gen­tes de su­per­vi­são, controle e instrução, incluindo a imposição de prazos. Além disso, os gestores assumem uma res­pon­sa­bi­li­dade sig­ni­fi­ca­ti­va­mente maior pelas medidas de proteção e segurança, podendo ser punidos pes­so­al­mente em caso de infrações ou ne­gli­gên­cia (§38, §61).

Quando a Diretiva NIS2 entrou em vigor?

Em 14 de dezembro de 2022, o Par­la­mento Europeu e o Conselho Europeu aprovaram a Diretiva 2022/2555, conhecida como Diretiva NIS2. Ela entrou em vigor ofi­ci­al­mente em 16 de janeiro de 2023, subs­ti­tuindo a Diretiva NIS1. Até o dia 17 de outubro de 2024, ela deve ser im­ple­men­tada por todos os estados-membros da UE em suas res­pec­ti­vas le­gis­la­ções nacionais. Ela introduz grandes al­te­ra­ções no Re­gu­la­mento eIDAS (UE) nº 910/2014 e na Diretiva EECC (UE) 2018/1972.

Ainda usando a Alemanha como exemplo, mais de 30 mil empresas e ins­ti­tui­ções do país serão obrigadas a im­ple­men­tar a NIS2, o que re­pre­senta um con­si­de­rá­vel aumento de mais de 50% em com­pa­ra­ção com a NIS1. Atu­al­mente, existem dois projetos de lei e um documento de discussão que definem a estrutura e o conteúdo da lei alemã NIS2UmsuCG (Lei de Im­ple­men­ta­ção da NIS2 e de For­ta­le­ci­mento da Segurança Ci­ber­né­tica).