Base de conhecimentos

O que a NIS2 exige da sua organização?

Explicado para quem enfrenta isto pela primeira vez. Cada sigla é explicada no local onde aparece.

• A minha empresa está sujeita à NIS2? — Duas coisas o determinam: o seu setor e o seu tamanho. Mas há um terceiro grupo que fica de fora e recebe os requisitos de qualquer forma.
• O seu cliente envia um questionário de segurança — e agora? — Não se aplica a si, mas recebe os requisitos de qualquer forma. Por que isto acontece, e qual é uma boa resposta.
• A obrigação de diligência: as dez medidas do artigo 21 — O que exatamente é esperado de si, por medida — e como vê que está regulado.
• O dever de notificação: 24 horas, 72 horas e um mês — Três momentos, e nenhum deles é a obrigação de notificação dentro de 24 horas para a qual costuma apontar-se.
• A Lei de Cibersegurança: o que se aplica na Holanda — A implementação holandesa da NIS2, e por que não há período de transição.
• NIS2 e ISO 27001: qual é a diferença? — A norma ajuda, mas não cobre tudo. Onde se sobrepõem e onde não.

As dez medidas do dever de diligência

O artigo 21.º, n.º 2 da diretiva enumera-as como a a j. É aqui que consiste um dossier, e aqui é que se baseia o questionário de segurança do seu cliente.

1. Análise de riscos e política de segurança da informação (alínea a)
   Uma avaliação documentada do que pode correr mal, e a política que responde a isso. Esta é a base em que assentam as outras nove.
2. Tratamento de incidentes (alínea b)
   Como detecta que algo corre mal, quem faz o quê nesse caso, e como o regista. Também a questão de quem decide se é necessário notificar.
3. Continuidade de negócio e gestão de crises (alínea c)
   Cópias de segurança, recuperação após uma falha, e o que acontece se o seu sistema mais importante fica inoperacional durante uma semana. Incluindo a recuperação testada, não apenas descrita.
4. Segurança na cadeia de abastecimento (alínea d)
   A segurança dos seus fornecedores e prestadores de serviços, na medida em que afeta os seus próprios sistemas. Esta é a disposição que faz com que os seus próprios clientes lhe enviem um questionário.
5. Segurança na aquisição, desenvolvimento e manutenção (alínea e)
   Como integra segurança na compra ou construção de sistemas, e como as vulnerabilidades são tratadas assim que se tornam conhecidas.
6. Avaliação da eficácia (alínea f)
   Medir se o que regulou funciona também na prática. Sem isto, uma lista de medidas continua uma intenção.
7. Higiene básica e sensibilização (alínea g)
   Atualizações, política de palavras-passe, direitos não mais amplos do que o necessário — e pessoas que sabem em que devem estar atentas. A formação está ligada a isto.
8. Criptografia e encriptação (alínea h)
   Quando os dados são encriptados, em trânsito e em armazenamento, e com que acordos.
9. Segurança do pessoal, política de acesso e gestão de bens da empresa (sub i)
   Quem pode fazer o quê, o que acontece quando alguém sai da organização, e quais dispositivos e sistemas existem.
10. Verificação múltipla e comunicação segura (sub j)
    Autenticação em dois passos onde é relevante, e comunicação segura de voz, vídeo e texto. Também comunicação de emergência se os canais normais falharem.

Quando deve comunicar?

Três momentos, e nenhum deles é "a obrigação de comunicar em 24 horas" a que se refere frequentemente. Isto aplica-se apenas se está sujeito à lei.

Os prazos começam a contar a partir do momento em que tem conhecimento do incidente. Preparamos os textos; a apresentação cabe-lhe a si, no portal da sua própria autoridade reguladora.