Três momentos, não um prazo
Quem procura por obrigação de notificação nis2 24 horas geralmente encontra a ideia de que uma organização deve saber tudo e notificar dentro de um dia. Isso não está correto. O artigo 23 da Diretiva NIS2 distingue três momentos separados após um incidente significativo: um aviso prévio dentro de 24 horas, uma notificação mais detalhada dentro de 72 horas e um relatório final dentro de um mês. Cada momento exige algo diferente, e o relógio começa apenas quando a organização se toma consciência do incidente — não a partir do momento em que o incidente realmente ocorreu.
Importante saber antecipadamente: esta obrigação de notificação aplica-se a organizações que foram designadas como essenciais ou importantes sob a NIS2, ou seja, a entidades dos setores do anexo I e II. As empresas afetadas pela cadeia de fornecimento — o fornecedor PME que recebe um questionário de segurança de um grande cliente — não estão sujeitas a esta obrigação de notificação em si. Podem notar que um cliente pergunta como lidam com incidentes, mas isso é diferente de uma obrigação legal de notificação a uma autoridade supervisora. Se tiver dúvidas sobre em que categoria se enquadra a sua organização, a verificação com algumas perguntas fornece uma primeira indicação.
O primeiro momento: um aviso, não uma análise
As primeiras 24 horas destinam-se a um sinal precoce, não a uma análise completa. A diretiva refere-se aqui a um aviso prévio: uma mensagem breve indicando que pode tratar-se de um incidente significativo e se existe suspeita de que o incidente foi causado por atos ilícitos ou pode ter consequências transfronteiriças. O que ainda falta neste momento — a causa exata, a extensão, os sistemas envolvidos — não precisa estar presente. É exatamente onde reside o mal-entendido: 24 horas não é um prazo para resolver ou compreender completamente o incidente, é um prazo para notificar que algo está acontecendo.
O segundo momento: uma primeira avaliação
Dentro de 72 horas, segue-se uma notificação que vai além do primeiro aviso. Aqui é esperada uma primeira avaliação do incidente, com a gravidade e as consequências, e na medida do possível os indicadores que apontam para o incidente. Isto é também explicitamente um passo intermédio: a diretiva reconhece que uma organização 72 horas após tomar conhecimento ainda não tem frequentemente a visão completa. O que é esperado é que a organização nesse momento possa demonstrar o que estabeleceu até então e que medidas de gestão tomou ou está considerando.
O terceiro momento: o relatório final
O relatório final, no máximo um mês após a notificação, é o local onde o historial completo é registado: uma descrição detalhada do incidente, a gravidade e as consequências, o tipo de ameaça ou a causa subjacente que levou ao incidente, as medidas de gestão implementadas e em curso, e quando relevante as consequências transfronteiriças. Se o incidente ainda estiver em curso nessa altura, a diretiva prevê um relatório provisório e um relatório final posterior assim que o incidente for encerrado.
O que a organização deve fazer e o que não deve fazer
Estes três momentos referem-se ao quê é notificado e quando, não a como uma organização tecnicamente lida com o incidente. Identificar a causa, isolar sistemas, investigação forense — isso é trabalho para partes especializadas e está fora do âmbito do que uma plataforma preparatória como secria.eu faz. Preparamos os textos necessários em cada um dos três momentos, com base no que já foi estabelecido no dossier de segurança da organização sobre medidas e responsáveis; a submissão é sempre feita pela própria organização, junto ao portal da autoridade supervisora competente.
A forma exata e o portal variam de país para país, porque cada Estado-Membro transpõe a diretiva na sua própria legislação — nos Países Baixos através da Lei de Cibersegurança. Detalhes como o processo exato de notificação à autoridade competente são melhor verificados junto da própria autoridade competente ou no texto nacional definitivo. Uma visão geral de como secria.eu mantém as fontes e com que data pode ler-se em a página sobre de onde vem a nossa informação.
Por que isto é mais do que memorizar um prazo
Os três momentos só são viáveis se uma organização souber antecipadamente quem reconhece um incidente, quem o notifica e que informações já estão disponíveis para o efeito. É precisamente aqui que as medidas de diligência devida e o processo de notificação se encontram: uma organização que mantém as suas medidas como um registo vivo, com um responsável por cada medida, não precisa de começar do zero quando ocorre um incidente para determinar quem é responsável por quê. Mais sobre como essas medidas se relacionam com a obrigação de notificação e outras obrigações pode encontrar em a visão geral dos tópicos por situação.
Se tem dúvidas sobre o que exatamente se enquadra num incidente significativo ou como a obrigação de notificação se relaciona com o seu setor, então a página com perguntas frequentes é um passo lógico seguinte, além de consultação com a sua autoridade competente ou com um jurista para a sua situação específica.
Se primeiro quer saber se a sua organização está sequer sujeita à obrigação de notificação, faça a verificação gratuita NIS2. Esta fornece, em poucas perguntas, uma indicação da sua posição, com explicação e um passo seguinte — sem que necessite de uma conta para o efeito.