Diretiva NIS2 Portugal

A União Europeia aprovou oficialmente a Diretiva NIS2 em novembro de 2022, tendo a sua publicação ocorrido no Jornal Oficial da UE a 27 de dezembro do mesmo ano. Esta norma entrou em vigor a 16 de janeiro de 2023, iniciando-se o período de adaptação pelos países membros. Cada Estado-Membro, incluindo Portugal, deve incorporar esta diretiva na sua legislação nacional até, no máximo, 17 de outubro de 2024, iniciando a sua aplicação efetiva a partir do dia seguinte, 18 de outubro de 2024.

A NIS2 representa uma evolução significativa em relação à regulamentação anterior, alargando a sua cobertura e introduzindo alterações-chave, como a eliminação da divisão entre operadores de serviços essenciais (OSE) e prestadores de serviços digitais (PSD). No caso de Portugal, a implementação da NIS1 já tinha abrangido sectores adicionais, incluindo áreas como a administração pública, a indústria alimentar e a química. Com a chegada da NIS2, redefine-se e alarga-se o conceito de entidade essencial, tornando-se indispensável que as organizações revejam cuidadosamente o novo quadro normativo. Mesmo as que já cumpriam com a NIS1 podem estar sujeitas a novas obrigações e controlos mais rigorosos.

Gestão de riscos: Estratégias de segurança e avaliação contínua de ameaças.
Planos de continuidade: Sistemas de backup, recuperação de incidentes e protocolos de resposta.
Segurança na cadeia de abastecimento: Monitorização dos fornecedores para mitigar as vulnerabilidades.
Proteção de infraestruturas de TI: Aplicação de autenticação multifator e criptografia de dados.
Capacitação em cibersegurança: Formação periódica para o pessoal.
Notificação de incidentes dentro de prazos definidos.

A Diretiva NIS2 possui um alcance aplicável em toda a União Europeia, o que implica que as empresas multinacionais devem adaptar-se às normas de cibersegurança em cada um dos países membros onde operam. Apesar de cada nação ser responsável por incorporar a directiva na sua legislação, as entidades ficarão sob a jurisdição principal do país onde se encontram estabelecidas.

No caso de prestadores de serviços como redes de comunicação, plataformas de computação em nuvem ou redes sociais, a jurisdição será determinada pelo Estado-Membro onde se localize a sede principal da empresa. Se a companhia operar em múltiplos países, deverá cumprir com as regulações locais de cada um deles, com as autoridades nacionais a colaborar na supervisão e controlo.

Se uma empresa não estiver estabelecida na União Europeia, mas prestar serviços dentro do seu território, deverá nomear um representante em pelo menos um dos Estados-Membros onde tenha presença. Esta abordagem garante que as empresas multinacionais seguem um quadro regulador harmonizado e coerente em matéria de cibersegurança em toda a UE

Os responsáveis pela gestão a nível diretivo nas entidades consideradas essenciais e importantes têm um papel crucial na aprovação e supervisão das políticas de gestão de riscos relacionados com a cibersegurança, conforme exigido pela Diretiva NIS2. A falta de cumprimento dessas responsabilidades pode resultar em sanções severas, incluindo multas, penalidades administrativas e restrições temporárias, conforme a legislação nacional vigente. Entre as principais obrigações dos órgãos de direção estão:

Validar que as medidas adotadas para a gestão de riscos em cibersegurança sejam adequadas e alinhadas com os requisitos legais.
Acompanhar a correta implementação e cumprimento destas medidas dentro da entidade.
Investir na formação e atualização contínua em cibersegurança para desenvolver competências necessárias para identificar riscos e avaliar a eficácia das estratégias de segurança.
Assegurar que são oferecidos programas de formação periódica aos colaboradores sobre cibersegurança.
Assumir a responsabilidade por qualquer incumprimento das disposições estabelecidas pela regulamentação.

As organizações sujeitas à Diretiva NIS2 devem cumprir com as medidas relativas à gestão de riscos em cibersegurança e à notificação de incidentes. Para verificar esse cumprimento, as autoridades competentes poderão realizar auditorias regulares ou específicas, tanto para entidades essenciais quanto para aquelas consideradas importantes, com base em avaliações de risco ou como resposta a incidentes de segurança.

O cumprimento pode ser evidenciado através da adoção de normas e diretrizes europeias ou internacionais, como as estabelecidas na série ISO/IEC 27000, que abordam a gestão de riscos cibernéticos e a segurança física das redes e sistemas de informação. Além disso, cabe aos órgãos de direção aprovar e supervisionar as medidas implementadas para a gestão desses riscos.

Durante as auditorias ou em resposta a requisitos regulamentares, as entidades deverão apresentar documentação detalhada que comprove as suas políticas de cibersegurança, registos das atividades desenvolvidas e evidências da aplicação efetiva dessas políticas. Isto inclui fornecer provas documentadas das políticas adotadas, informações sobre a sua supervisão e demonstrar a implementação eficaz, garantindo assim a transparência e a conformidade com os regulamentos estabelecidos.