Não, um certificado NIS2 não existe. Não há nenhuma entidade — nenhum organismo certificador, nenhuma autoridade supervisora, nenhuma organização setorial — que emita um rótulo de qualidade ou certificado com o qual uma empresa possa demonstrar que está "certificada pela NIS2". Quem ofereça ou venda tal certificado está vendendo algo que, na verdade, não existe dentro do sistema da diretiva.
Isso não é uma nuance pequena. NIS2 é uma diretiva que os Estados-Membros transpõem para legislação nacional, incluindo uma obrigação de cuidado: implementar medidas técnicas e organizacionais apropriadas para gerir os riscos para sistemas de redes e informação. As autoridades supervisoras verificam se uma organização cumpre essa obrigação de cuidado, não se há um certificado na parede. Portanto, não há exame, não há rótulo de qualidade e não há carimbo que a própria lei prescreva ou reconheça.
Por que a pergunta continua a aparecer
A confusão é compreensível. Noutras regulamentações, como certas normas de qualidade na construção ou segurança alimentar, existe realmente um processo de certificação com um avaliador independente e um certificado válido. Fornecedores que querem lucrar comercialmente com a incerteza em torno da NIS2 aproveitam-se disso: sugerem que existe um processo semelhante, com uma auditoria, um relatório e um documento elegante no final. Soa reconfortante, especialmente para um diretor ou gestor administrativo que acaba de ouvir que algo "se aproxima" e procura rapidamente uma lista de verificação.
O problema é que tal certificado, por mais convincente que pareça, não tem estatuto jurídico sob a diretiva ou sua transposição nacional. Uma autoridade supervisora não pede um certificado; ela analisa as próprias medidas, como estão documentadas e quem é responsável por elas.
O que realmente existe: normas reconhecidas, não um rótulo NIS2
Existem normas internacionalmente reconhecidas para segurança da informação, com um processo de certificação através de um organismo acreditado. Tal certificado demonstra que um sistema de gestão da segurança da informação foi implementado e é periodicamente avaliado. Isso é valioso e pode facilitar parte do diálogo com uma autoridade supervisora ou um cliente, porque fornece estrutura e prova. Mas é um sistema diferente, com um âmbito próprio e um auditor próprio, e não cobre automaticamente cada medida que a obrigação de cuidado espera. Quem queira compreender bem essa diferença encontra a comparação em a visão geral dos tópicos por situação.
O que uma autoridade supervisora ou cliente realmente espera
Em vez de um certificado, a obrigação de cuidado exige demonstrabilidade: a organização consegue mostrar que medidas foram tomadas, quem é responsável por elas e que prova as acompanha. Isso é menos um rótulo de qualidade e mais um registo vivo — um dossier que acompanha a organização, com um estado e um responsável por cada medida. Para quem ainda não sabe se isto é relevante para a sua organização, o primeiro passo é normalmente simples: analisar setor, dimensão e papel na cadeia de fornecimento. Isso pode ser feito gratuitamente e sem conta em algumas perguntas que dão uma indicação imediata.
Também relativamente aos clientes que enviam um questionário de segurança, um certificado não é o caminho mais curto. Os clientes querem normalmente ver respostas concretas: que medidas existem, como estão organizadas, o que acontece em caso de incidente. Um certificado pode apoiar nisto, mas não substitui a prova subjacente.
Se um fornecedor mesmo assim oferecer um "certificado NIS2"
Se um programa de certificação for oferecido especificamente sob o nome NIS2, é sensato analisar criticamente quem o emite e com base em qual norma. Solicite informações sobre a acreditação, o escopo exato e o que o certificado cobre ou não. Uma auditoria, um teste de penetração ou uma certificação com base em uma norma reconhecida é trabalho de partes especializadas — é expressamente diferente da preparação de políticas, dossiês e listas de verificação. Como essa preparação funciona e de onde vêm as fontes utilizadas está explicado em a página sobre como as informações foram estruturadas.
Para sua situação específica e para a questão de saber se um certificado oferecido se alinha com o que a lei exatamente exige em seu país, um jurista ou a autoridade competente de supervisão é o ponto de contato correto. Se tiver dúvidas sobre a relevância de um certificado, norma ou lista de verificação para sua organização, o resumo de perguntas frequentes geralmente já fornece uma primeira resposta.
Quer saber exatamente onde sua organização se situa, sem discurso de vendas sobre certificados que não existem? Faça a verificação NIS2 gratuita ou navegue pela base de conhecimento — ambas são acessíveis sem conta.