Como abordar a NIS2 como PME, sem transformar isto num projeto de um ano?
O caminho mais curto não é escrever um grande plano, mas começar pelo que já existe. A maioria das PME já tem uma política de palavras-passe, um calendário de cópias de segurança, uma lista de quem tem acesso a que sistemas e um contacto de TI. Não é uma política de cibersegurança completa, mas é o ponto de partida de um dossiê: registar para cada medida qual é o status, quem é responsável e que comprovativo demonstra que é realmente implementada.
Construir um dossiê desta forma não é um projeto de meses. É uma lista que abre hoje e que cresce enquanto trabalha: uma medida já está lá, outra é adicionada este mês. Não há um momento em que fica "pronto", e esse também não é o objetivo. O dever de diligência que resulta da Diretiva NIS2 e das leis nacionais que a implementam não é um exercício único, mas uma prática contínua. Um registo vivo adequa-se melhor a isto do que um documento volumoso que desaparece numa pasta após a entrega.
Comece pelo que já existe, não por uma página em branco
Muitas empresas pensam que começam do zero assim que a palavra NIS2 aparece. Raramente é assim. Uma empresa de instalação geralmente já tem acordos sobre quem acede aos sistemas dos clientes, um departamento de RH tem um processo para revogar acesso quando um colaborador se desliga, e quase todas as empresas têm alguma forma de cópia de segurança, mesmo que não esteja registada em papel como "política de cópias de segurança". O primeiro passo não é escrever, mas fazer inventário: o que já fazemos, onde está isso registado e quem pode o demonstrar.
Depois segue-se a questão sobre que partes ainda faltam. Isto não só poupa tempo como também evita trabalho duplicado ou estabelecer políticas para algo que na prática já está bem organizado, apenas ainda não visível. Se quer saber primeiro se a sua organização está sequer abrangida, ou se é atingida através de um cliente, pode ver isso com algumas perguntas para se localizar aproximadamente, sem que tenha de comprar nada.
Uma medida, um status, um responsável, um comprovativo
A essência de um dossiê prático é simples: quatro campos fixos por medida. O status indica se algo está organizado, parcialmente organizado ou ainda tem de acontecer. O responsável é a pessoa encarregada, não necessariamente o diretor. O comprovativo é o que demonstra que a medida existe: um calendário, uma exportação de um sistema, um documento assinado. Sem esses quatro campos, um dossiê continua a ser uma coleção de boas intenções; com eles, torna-se algo com o qual pode responder a um questionário de segurança de um cliente, porque não precisa improvisar, mas pode recorrer ao que já está registado.
Esta estrutura funciona bem também porque não tem de tratar tudo ao mesmo tempo. Pode começar pelas medidas para as quais já tem a maioria do trabalho feito, que são rápidas de organizar, e abordar o resto de forma faseada. Um resumo das medidas exatas que o dever de diligência requer e o que se enquadra aí encontra-o em tópicos elaborados por situação.
Por que isto avança mais depressa do que parece
A ideia de que a NIS2 é um projeto de um ano surge frequentemente porque as pessoas pensam num documento de política completo que tem de ficar pronto de uma só vez. Um registo vivo funciona ao contrário: começa pequeno e incompleto, e atualiza-se automaticamente sempre que há uma mudança na sua organização, porque está de qualquer forma a ocupar-se dessa mudança. Um novo fornecedor, um sistema de acesso diferente, um novo colaborador com direitos de administrador — cada momento é um ponto de partida natural para atualizar o dossiê, em vez de fazer tudo de novo uma vez por ano.
O que o dossiê oferece e o que não oferece
A partir de um dossiê mantido, seguem os documentos de que necessita: a própria política, as respostas aos questionários dos clientes e textos preparados para registo ou notificação à autoridade supervisora. Essa notificação ou registo deve ser feito por si próprio no portal da sua autoridade supervisora; um dossiê prepara isso, mas não assume o envio. O dossiê também não substitui uma auditoria, um teste de penetração ou uma certificação — isso permanece trabalho de partes especializadas, tal como a resposta a incidentes quando algo corre realmente mal.
Quem quiser saber exatamente como tal dossiê é elaborado e que fontes são utilizadas, lê isso na página sobre de onde vêm as informações na plataforma. Para a situação da sua própria organização, com as correspondentes consequências jurídicas, um jurista ou a autoridade supervisora competente permanece o ponto de contacto apropriado.
Deseja ver onde a sua organização se encontra neste momento? Faça a verificação NIS2 gratuita ou navegue pelos tópicos que se aproximam mais da sua situação.