Frameworks – NIS2: o que a plataforma cobre
A NIS2 é a diretiva europeia de segurança cibernética para setores considerados essenciais e importantes. Ela ampliou bastante o alcance da regra anterior, e passou a valer para muito mais tipos de organização.
Ela tem uma característica que a distingue de quase tudo no catálogo: responsabiliza pessoalmente a alta administração.
Para quem serve
Empresas que operam na Europa em setores cobertos. A lista é ampla e inclui energia, transporte, saúde, água, infraestrutura digital, serviços de tecnologia, gestão de resíduos, alimentos, indústria e serviços postais, entre outros.
Fornecedores dessas empresas. Este é o caminho mais comum para uma empresa brasileira. A diretiva exige que a organização coberta governe a segurança da sua cadeia de fornecimento, e ela repassa exigências a você.
Um detalhe importante: por ser uma diretiva, ela é transposta para a lei de cada país do bloco. Isso significa que os detalhes variam conforme o país do seu cliente. Não existe uma versão única a atender.
O ponto que muda a conversa interna
A diretiva atribui responsabilidade à direção da organização pela supervisão das medidas de segurança, com possibilidade de consequências pessoais.
Na prática, isso é o que faz o assunto sair da área técnica e entrar na pauta da diretoria. Se você precisa de patrocínio interno para um programa de segurança, este é o argumento mais eficaz que existe no catálogo.
E tem efeito na plataforma: os controles de governança deixam de ser formalidade. Quem aprovou, quando revisou, e o registro dessa decisão passam a ser a evidência que protege as pessoas que assinaram.
O que ela cobra, em linhas gerais
As medidas esperadas cobrem, entre outros temas:
- Análise de risco e política de segurança da informação.
- Tratamento de incidentes, com notificação em prazos escalonados.
- Continuidade de negócios, backup e gestão de crise.
- Segurança da cadeia de fornecimento.
- Segurança em aquisição, desenvolvimento e manutenção de sistemas.
- Avaliação da eficácia das medidas adotadas.
- Práticas básicas de higiene cibernética e treinamento.
- Criptografia, controle de acesso e gestão de ativos.
- Autenticação forte e comunicação segura.
Quem conhece a ISO 27001 vai reconhecer quase tudo. A sobreposição é grande, e a plataforma mostra o percentual já coberto ao habilitar.
A notificação de incidente é o prazo mais apertado
Se há uma exigência que exige preparo antecipado, é esta. A diretiva prevê notificação em etapas, começando por um aviso inicial em prazo bastante curto após a detecção, seguido de relatórios mais completos depois.
A implicação prática é simples e frequentemente ignorada: você não consegue cumprir um prazo curto improvisando. É preciso saber de antemão quem decide que houve incidente notificável, quem redige, para quem envia, e onde isso fica registrado.
O módulo de Incidentes existe para isso. Ele guarda o histórico com datas, o que é a prova de que o prazo foi cumprido.
O que é comprovado automaticamente e o que não é
| Área | Como é comprovada |
|---|---|
| Controle de acesso, autenticação forte, criptografia | Integrações |
| Gestão de ativos e configuração | Integrações |
| Backup | Integrações, mais evidência de teste |
| Análise de risco | Módulo de Riscos |
| Tratamento e notificação de incidentes | Módulo de Incidentes |
| Continuidade e gestão de crise | Módulo de Continuidade |
| Segurança da cadeia de fornecimento | Módulo de Fornecedores |
| Políticas, governança e supervisão da direção | Documentos publicados e registro de aprovações |
| Treinamento e higiene cibernética | Evidência enviada |
| Avaliação da eficácia das medidas | Evidência periódica |
Por onde começar
- Confirme se você é alcançado, e por qual país. Isso define os detalhes. Sem essa definição, o trabalho fica no genérico.
- Envolva a direção formalmente. Registre a aprovação da política e a supervisão. É exigência, e é proteção pessoal de quem assina.
- Prepare o processo de notificação antes de precisar dele. Defina responsáveis e caminho.
- Ative Continuidade e Fornecedores. As duas frentes são cobradas explicitamente.
- Conecte as integrações para a base técnica.
- Se já tem ISO 27001, confira a cobertura e trabalhe só as lacunas.
O que costuma dar problema
- Processo de notificação inexistente. Descobrir o prazo durante o incidente é tarde.
- Direção não envolvida. Contraria justamente o ponto central da diretiva.
- Cadeia de fornecimento sem avaliação. Lista de fornecedores não é gestão de risco de fornecedor.
- Tratar como norma única. A transposição nacional importa, e o país do cliente define o detalhe.
⚠️ Esta página descreve o propósito e a estrutura geral da diretiva em linguagem própria, para orientar o uso da plataforma. Ela não é orientação jurídica e não reproduz o texto normativo. Como a diretiva é transposta para a legislação de cada país, o enquadramento, as obrigações e os prazos aplicáveis devem ser definidos com assessoria jurídica qualificada na jurisdição pertinente.
Este artigo foi útil?