Diretiva NIS2 — Diretiva (UE) 2022/255518 setores críticos
A Diretiva NIS2 estabelece um quadro jurídico unificado para a cibersegurança em 18 setores críticos da União Europeia. Exige que faça a gestão do risco para as suas redes e sistemas de informação — e, meses depois, que demonstre a um auditor que o fez. A Quanovio recolhe os vestígios que os seus sistemas já produzem, confronta-os todos os dias com os requisitos numerados do regulamento de execução da diretiva e redige o registo que entrega. Uma violação de cibersegurança, dados pessoais que saem da organização, ficheiros que qualquer pessoa na internet pode abrir, contas que ninguém fechou — encontrados, comunicados e seguidos até que desapareçam de forma comprovável.
Este sítio remete para a Diretiva (UE) 2022/2555 e para os requisitos técnicos e metodológicos estabelecidos no anexo do Regulamento de Execução (UE) 2024/2690 da Comissão. Os números dos pontos e os títulos dos requisitos são reproduzidos a partir desses textos, na língua em que o está a ler. As cifras que medimos são assinaladas como tal. Diretiva (UE) 2022/2555·RE (UE) 2024/2690
Setores abrangidosAnexo I
O anexo I enumera onze setores de elevada criticidade, aqui representados. O anexo II enumera mais sete. As obrigações não mudam consoante o setor; os sistemas que as comprovam, sim.
A dimensão e o setor determinam em conjunto se uma entidade é essencial ou importante, e os Estados-Membros podem designar outras. A classificação afeta a supervisão e o nível da sanção, não quais medidas são aplicáveis.
A versão curtaQuatro perguntas
Se é uma organização média ou grande nos setores da energia, transportes, saúde, água, alimentação, fabrico, resíduos, correios, química, serviços digitais, investigação ou administração pública, quase certamente sim. A lei chama-se NIS2, aplica-se nos 27 países da UE e atingiu milhares de organizações que nunca antes tinham sido reguladas em matéria de segurança. Muitas ainda não o sabem.
As coimas chegam aos 10 milhões de euros ou a 2 % do volume de negócios anual mundial, consoante o valor mais elevado. Os administradores podem ser responsabilizados pessoalmente e as autoridades podem suspender um gestor das suas funções. Na prática, a primeira coisa que acontece é mais simples: um cliente, uma seguradora ou um banco pede-lhe as suas provas, e não tem nenhumas.
Duas coisas, e a segunda é a que as pessoas deixam passar. Primeiro, a própria vigilância: a Quanovio liga-se aos sistemas que já utiliza e examina-os de forma contínua — quem iniciou sessão e a partir de onde, o que saiu da organização, o que mudou num servidor, o que a sua firewall deixou passar, o que fizeram as suas contas na nuvem. Quando algo se parece com uma tentativa de intrusão, uma conta tomada por outra pessoa ou dados a sair para onde não deviam, é informado de imediato e não no resumo do dia seguinte, porque a lei conta em horas. Segundo, o registo que essa vigilância produz: um relatório todas as manhãs, com cada linha ligada à parte numerada da lei a que responde.
Corrigir o que encontra. Nunca tocamos nos seus sistemas — não podemos, e é deliberado. Dizemos-lhe o que está mal e em que ordem o abordar; a sua equipa ou o seu fornecedor de informática faz o trabalho, e o relatório da manhã seguinte diz se funcionou.
A ideia sobre a qual tudo assentaDuas coisas distintas
Pense nos extintores do seu edifício. Tê-los não basta. Alguém assina uma folha todos os meses a atestar que foram verificados, e é essa folha que o inspetor pede. A segurança funciona hoje da mesma forma. A lei não pergunta apenas se vigia — exige que apresente o registo. A maioria das organizações faz muito mais do que consegue demonstrar.
Uma página. Abaixo está um exemplo real, abreviado. O número à esquerda é a parte da lei a que cada linha responde; não precisa de o compreender, mas quem o inspecionar vai compreender.
| Ponto do anexo | Requisito | Observação | Estado | |
|---|---|---|---|---|
| 11.2 | Gestão dos direitos de acesso | Uma ligação de partilha criada em março continua ativa num documento cujo acesso foi restringido em 28 de agosto. O documento pode ser obtido por qualquer detentor da ligação, sem autenticação. | Recorrente encerrado e verificado em 2 de setembro | |
| 6.7 | Segurança da rede | Uma política de firewall permite ligações de entrada de qualquer endereço para o servidor financeiro. | Aberto | |
| 3.4 | Avaliação e classificação de eventos | Uma estação de trabalho enviou 4.2 GB para um endereço com o qual nunca tinha contactado, entre as 01:00 e as 04:00. | Aberto | |
| 11.7 | Autenticação multifator | Quatro contas com privilégios de administração autenticam-se apenas com palavra-passe. | Aberto registado pela primeira vez em 14 de setembro | |
| 11.3 | Contas privilegiadas e contas de administração do sistema | A conta de administração do sistema de recursos humanos é utilizada por duas pessoas. | Aberto | |
| 6.8 | Segmentação da rede | A rede de postos de trabalho alcança diretamente a rede de servidores, sem filtragem entre as duas. | Aberto | |
| 12.4 | Inventário de ativos | Há três servidores em funcionamento que não figuram no inventário. | Aberto | |
| 11.5 | Identificação | Uma caixa de correio partilhada do departamento financeiro inicia sessão com uma conta genérica que não pertence a ninguém. | Aberto | |
| 3.2 | Monitorização e registo | Um servidor deixou de enviar registos às 02:14 e ficou em silêncio durante catorze horas. | Fechado e verificado | |
| 6.9 | Proteção contra software malicioso e não autorizado | Foi bloqueado software malicioso num posto de trabalho do departamento financeiro. | Fechado e verificado | |
| 10.3 | Procedimentos de cessação ou alteração do vínculo laboral | O sistema de recursos humanos indica 18 de agosto como data de saída; a conta continuava ativa trinta e um dias depois. | Fechado e verificado | |
| 6.10 | Tratamento e divulgação de vulnerabilidades | Três vulnerabilidades classificadas como críticas foram corrigidas; a sua ausência foi confirmada na recolha seguinte. | Fechado e verificado confirmado em 19 de setembro |
Cada linha provém de uma parte diferente da sua organização. Os inícios de sessão, ficheiros e contas da sua suite de produtividade; os servidores, firewalls e o tráfego de rede dos próprios sistemas; uma data de saída do seu sistema de recursos humanos ou ERP. O registo é montado a partir de todos eles, e é por isso que se lê como um único documento e não como o resultado de várias ferramentas.
Os números dos pontos e os títulos dos requisitos são reproduzidos a partir do anexo do Regulamento de Execução (UE) 2024/2690 da Comissão. As observações acima são uma ilustração, não os dados de qualquer entidade. A correção é efetuada pelos administradores da própria entidade; este registo indica apenas o que foi observado. RE (UE) 2024/2690 · Anexo
Os conectores solicitam exclusivamente âmbitos de leitura. Uma credencial devolvida com permissão de escrita é rejeitada no momento da ligação em vez de ser conservada.
O mesmo software, implementado na sua própria rede ou operado em seu nome na União Europeia. As implementações autoalojadas não transmitem nada para o exterior.
Cada constatação inclui um plano de correção executado pelos seus administradores. As recolhas subsequentes registam o resultado como encerrado, não resolvido ou recorrente.
O ecrãExemplo
O relatório é o que entrega. O ecrã é onde o trabalho acontece entre relatórios: o que mudou, o que está a evoluir na direção errada, o que precisa de atenção hoje, e todos os relatórios alguma vez produzidos, prontos a enviar.
Ilustração. Os números são um exemplo, tal como o registo acima.
As cifras assinaladas como medidas são a nossa própria contagem sobre o conjunto de deteções Wazuh disponibilizado publicamente, na data indicada, e não uma cifra de qualquer fonte da UE.
Aproximadamente um terço dos controlos numerados do RE (UE) 2024/2690 é comprovado por telemetria. O restante — metodologia de risco, avaliação da cadeia de abastecimento, política criptográfica, formação, segurança física — é documental e é declarado em aberto, juntamente com as evidências que um auditor irá solicitar. As alegações de cobertura que excedem o que um sistema de monitorização pode observar não resistem a uma auditoria.
Uma página do mesmo relatório. Oito dos controlos numerados, o número de deteções por detrás de cada um, e se isso foi suficiente para o evidenciar. A última linha é a útil: onde nada está ligado, o relatório di-lo, em vez de deixar a linha em branco.
| Ref. | Controlo | Deteções | Evidenciado | |
|---|---|---|---|---|
| 11.6 | Autenticação | 302 | Sim | |
| 3.2 | Monitorização e registo | 167 | Sim | |
| 6.9 | Proteção contra software malicioso e não autorizado | 155 | Sim | |
| 11.2 | Gestão dos direitos de acesso | 140 | Sim | |
| 3.4 | Avaliação e classificação de eventos | 135 | Sim | |
| 6.7 | Segurança da rede | 70 | Sim | |
| 11.3 | Contas privilegiadas e contas de administração do sistema | 30 | Parcial | |
| 11.7 | Autenticação multifator | 2 | Requer uma fonte de identidade |
Um exemplo, e não os dados de nenhuma entidade. Os números de referência e os títulos dos controlos são reproduzidos do anexo ao Regulamento de Execução (UE) 2024/2690.
ReferênciasEUR-Lex · ENISA
Todas as cifras, prazos e títulos de requisitos neste sítio são retirados dos textos abaixo. Quando este sítio cita, cita a versão linguística oficial em que o está a ler.
Diga-nos o que a sua organização utiliza — cinco linhas bastam — e diremos-lhe que partes da lei poderia demonstrar hoje e quais não. Por escrito, gratuitamente, e sem qualquer chamada.
Consulte a sua cobertura