As dez medidas do dever de diligência, em linguagem comum
Se a sua organização se enquadra na Diretiva NIS2 como entidade essencial ou importante, aplica-se um dever de diligência: deve tomar medidas apropriadas para gerir os riscos para os seus sistemas de rede e informação. A diretiva desenvolve isto numa série de dez tipos de medidas, enumeradas no artigo 21.º. Foram intencionalmente formuladas de forma ampla, para se ajustarem tanto a uma empresa de instalação com vinte colaboradores como a uma empresa de energia com mil. Como se sabe que uma medida está regulamentada? Não por uma marca de verificação, mas por três coisas que andam juntas: um documento concreto ou uma configuração técnica que preenche a medida, o nome de alguém responsável por isso, e um momento em que foi verificado pela última vez.
As dez medidas dividem-se aproximadamente em quatro grupos: conhecer e documentar riscos, mitigar incidentes, gerir a cadeia de fornecimento, e manter pessoas e tecnologia em ordem. Abaixo, passamos por cada uma, não como uma lista de verificação para assinalar, mas como uma explicação do que cada medida significa na prática.
Conhecer e documentar riscos
A primeira medida é uma política de análise de riscos e segurança da informação: um documento que descreve quais os sistemas importantes, o que pode correr mal e como avalia isso. Não precisa ser um relatório volumoso, mas deve ser algo que um outsider — um regulador, um cliente, um novo colega — possa ler e compreender. Além disso, a diretiva menciona política e procedimentos para avaliar a eficácia das medidas: não só registra o quê faz, mas também como verifica se funciona. E há uma medida separada para higiene cibernética e treinamentos: regras básicas práticas e a capacidade dos colaboradores de reconhecer um e-mail suspeito.
Mitigar incidentes
Um segundo grupo trata do que acontece se algo correr mal. O tratamento de incidentes significa que existe um procedimento que descreve quem faz o quê assim que um incidente é descoberto e como é comunicado. A continuidade do negócio — incluindo gestão de cópias de segurança, recuperação de desastres e gestão de crises — trata da questão de como voltar a operar após uma falha ou ataque: tem uma cópia de segurança atualizada, sabe quem coordena a crise e foi alguma vez testado. Esta é a área em que as organizações frequentemente confiam sem a terem testado, e é precisamente esse teste que um regulador ou cliente quer ver.
Gerir a cadeia de fornecimento
A diretiva dedica uma medida separada à segurança da cadeia de fornecimento, incluindo a relação com fornecedores individuais. Esta é a razão pela qual também as pequenas e médias empresas não obrigadas recebem questionários de segurança dos seus clientes: esse cliente deve avaliar a sua própria cadeia para cumprir esta medida. Uma medida relacionada aborda a segurança na aquisição, desenvolvimento e manutenção de sistemas de rede e informação, incluindo a forma como as vulnerabilidades são tratadas — portanto, também a questão de como o software é adquirido e mantido.
Pessoas e tecnologia em ordem
O último grupo é o mais técnico, mas não menos concreto. A segurança do pessoal, a política de acesso e a gestão de ativos abrangem quem pode aceder a que sistemas e o que acontece quando alguém sai da organização. O uso de autenticação multifator ou soluções comparáveis, e comunicação de voz, vídeo e texto segura e sistemas de comunicação de emergência segura, é a medida mais próxima da prática diária: é ainda possível fazer login no e-mail e nos sistemas empresariais apenas com uma palavra-passe, ou é necessário um segundo passo. E quando aplicável, abrange a política e procedimentos para o uso da criptografia e, quando relevante, encriptação.
O que estas dez medidas têm em comum é que todas pedem três coisas: uma prova, um responsável e um momento de verificação. É exatamente assim que um dossier vivo é estruturado, em vez de um retrato que fica desatualizado após meio ano. O rigor com que uma medida deve ser preenchida no seu caso depende do tamanho da sua organização e dos riscos que pertencem ao seu setor — sobre isso, a verificação gratuita em algumas perguntas uma primeira indicação.
Para quem quer saber como estas dez medidas se traduzem na lei nacional e em passos concretos por tema, há uma visão geral por tema, selecionada por situação. Aí também está explicado qual fonte pertence a qual explicação e em que data foi consultada, conforme descrito em a página sobre a origem das informações. Para a pergunta sobre o que exatamente é gratuito e o que faz parte de uma subscrição, há uma visão geral de perguntas frequentes.
Estas dez medidas são um quadro, não um exercício de preenchimento com uma resposta correta. O que é apropriado para sua organização depende do seu setor, tamanho e dos sistemas de que você depende — sobre isso, o próprio texto legal e a explicação da autoridade supervisora dão a resposta mais segura. Se primeiro quiser saber se e como esta obrigação de diligência se aplica à sua organização, comece com a verificação NIS2 gratuita ou navegue pela base de conhecimento em secria.eu.