NIS 2: Novo Regime Jurídico de Cibersegurança em Portugal

NIS 2: novo regime jurídico de cibersegurança está a transformar o panorama da proteção digital em Portugal. A nova legislação transpõe a Diretiva (UE) 2022/2555 e visa garantir um nível elevado e uniforme de cibersegurança em toda a União Europeia.

O que é a NIS 2?

A NIS 2 é uma diretiva europeia que visa melhorar a cibersegurança em todos os Estados-Membros da União Europeia. O seu principal objetivo é estabelecer requisitos mínimos de proteção para as infraestruturas críticas e serviços essenciais.

Criada para enfrentar ameaças emergentes no ciberespaço, esta diretiva pretende proteger as economias e sociedades europeias de ataques cada vez mais sofisticados. Substitui a anterior NIS 1, estabelecendo requisitos mais rigorosos e ampliando o leque de organizações obrigadas a cumprir normas de cibersegurança.

A NIS 2 está em vigor desde 16 de janeiro de 2023. Os Estados-Membros devem transpô-la para as respetivas legislações nacionais até 17 de outubro de 2024. Com isso, cerca de 160.000 entidades serão abrangidas, fortalecendo a resiliência da infraestrutura digital europeia.

Além de estabelecer obrigações legais, a NIS 2 promove a partilha de informações com o setor privado e parceiros internacionais, reforçando a cooperação global na luta contra os ciberataques. O objetivo final é tornar a Europa um lugar mais seguro para viver, trabalhar e inovar.

Caso pretenda, consulte a diretiva europeia 2022/2555.

Quais os principais objetivos da NIS 2?

A diretiva NIS 2 tem como principais objetivos:

• Reforçar a segurança das redes e sistemas de informação;

• Melhorar a cooperação entre os Estados-Membros;

• Criar mecanismos mais eficazes de supervisão e aplicação da lei;

• Estabelecer regras uniformes para todos os setores críticos.

A quem se aplica o novo regime jurídico?

A diretiva NIS 2 alarga significativamente o número de entidades abrangidas e traz impactos diretos e indiretos para empresas de todas as dimensões.

Passam a estar incluídas:

• Entidades essenciais, como empresas dos setores de energia, transportes, saúde, banca, infraestruturas digitais, entre outros.

• Entidades importantes, incluindo correios, gestão de resíduos, indústria alimentar, fabrico digital, setor químico, etc.

Embora as obrigações principais se apliquem a empresas médias e grandes, a NIS 2 também afeta pequenas empresas, sobretudo aquelas que:

• Prestam serviços informáticos ou digitais (como cloud, backups, RMM, segurança ou assistência remota);

• São fornecedoras ou subcontratadas por entidades abrangidas;

• Têm acesso a sistemas ou dados sensíveis de clientes.

Mesmo uma PME pode estar abrangida ou ter de cumprir requisitos de cibersegurança por exigência dos seus próprios clientes ou parceiros.

Novas obrigações e exigências da NIS 2

Com a entrada em vigor da diretiva NIS 2, as empresas enfrentam um conjunto alargado de obrigações legais, técnicas e operacionais. O impacto será especialmente sentido em organizações que ainda não possuem uma maturidade elevada em cibersegurança.

Abaixo, detalhamos os principais desafios e as áreas onde será necessário atuar com urgência:

1. Conformidade legal e organizacional

As organizações devem compreender e aplicar todos os requisitos legais definidos na NIS 2. Este processo envolve:

• Análise dos novos requisitos legais, incluindo a identificação das entidades abrangidas e as medidas obrigatórias;

• Implementação de políticas e controlos internos, adaptando os regulamentos internos às exigências da diretiva;

• Monitorização e auditorias regulares, para garantir a conformidade contínua;

• Gestão de documentação, mantendo registos completos de políticas, procedimentos, incidentes e medidas de mitigação aplicadas.

2. Investimento em cibersegurança

A NIS 2 exige um aumento claro dos níveis de proteção digital. Isto implicará:

• Justificação de novos orçamentos junto da gestão de topo, com base em análises de risco e custo-benefício;

• Aquisição de tecnologias adequadas, como sistemas de deteção de intrusões, SIEM, firewalls de nova geração, backups segregados, gestão de identidade e resposta a incidentes;

• Atualização da infraestrutura existente, com foco na segurança de redes, servidores, endpoints e comunicação entre sistemas críticos.

3. Recursos humanos e cultura organizacional

Cumprir a NIS 2 requer pessoas com conhecimentos adequados e um forte envolvimento de toda a organização:

• Capacitação e treino regular de todos os colaboradores, com foco em boas práticas de segurança digital e resposta a incidentes. Conheça a forma simples e eficaz de o conseguir;

• Contratação ou subcontratação de especialistas em cibersegurança, face à escassez de talento interno;

• Promoção de uma cultura de segurança, garantindo que todos compreendem o seu papel na proteção da informação, independentemente da função.

4. Gestão de riscos de cibersegurança

Uma gestão eficaz do risco é agora uma exigência legal e estratégica:

• Identificação contínua de vulnerabilidades através de avaliações de risco e testes de intrusão;

• Priorização dos riscos identificados, com foco nos que representam maior impacto para o negócio;

• Implementação de planos de mitigação, com medidas concretas de controlo, resposta e continuidade de negócio;

• Monitorização ativa do ambiente digital, ajustando políticas e respostas consoante a evolução das ameaças.

Criação da Comissão de Avaliação de Segurança do Ciberespaço

Uma das novidades em Portugal será a criação de uma Comissão de Avaliação de Segurança do Ciberespaço. Esta entidade terá como missão acompanhar, avaliar e emitir pareceres sobre a segurança das infraestruturas digitais nacionais.

A sua atuação será essencial para a implementação prática da NIS 2 a nível nacional.

Como a Compulab pode ajudar

A Compulab está preparada para apoiar a sua organização neste novo contexto. Disponibilizamos soluções de cibersegurança, desde serviços de consultoria e avaliação de risco, a ferramentas tecnológicas de proteção, deteção e resposta a incidentes.

Adaptamos as nossas soluções às exigências da NIS 2 e ajudamos a criar um plano robusto e escalável de conformidade e resiliência.

Veja o nosso artigo sobre o NIS 2 e as soluções quer propomos para garantir a conformidade da sua empresa.