O que é a Network & Information Systems Security (NIS2) e quais os seus princípios?

A nova diretiva da Comissão Europeia em matéria de Cibersegurança no espaço dos Estados Membros e que decorre da sua primeira versão, a NIS EU 2016/1148, foi publicada em Novembro de 2022 e entra imediatamente em vigor, devendo estar aplicada em cada Estado Membro até ao dia 18 de Outubro de 2024. Esta diretiva pretende reforçar algumas rúbricas da anterior versão e esclarecer alguns outros aspetos de âmbito, nomeadamente sobre as entidades e setores a que se aplica e alinhada com a NIS2 (resiliência operacional digital para o setor financeiro) e com a CER (resiliência de entidades críticas), assentando em 3 principais pilares:

Capacidades dos Estados Membros;
Gestão de Riscos e Relatórios;
Cooperação e Intercâmbio

Os 4 princípios

Comunicação

Comunicação com o CNCS;
Responsabilidade de Segurança da Organização perante o CNCS.

Gestão de Risco

Inventariação de ativos e sistemas críticos;
Análise de risco aos ativos e sistemas críticos.

PESI

Plano Estratégico de Segurança de Informação da Organização

Gestão de Incidentes e Report

Comunicação com o CNCS;
Plataforma de Notificação de Incidentes de Cibersegurança (PNIC);
Relatório Anual de Segurança com atividades realizadas, histórico de incidentes e recomendações de melhorias;
Segurança da Organização perante o CNCS.

Matriz de Governance e Conformidade para o NIS 2

A quem se aplica o NIS 2?

Setores Essenciais

Energia
- Eletricidade (incluindo operadores de redes de transmissão e distribuição).
- Petróleo e gás (produção, refino, armazenamento e distribuição).
Transporte
- Transporte aéreo (aeroportos, companhias aéreas, controle de tráfego).
- Transporte ferroviário, rodoviário e marítimo (portos, empresas de logística).
Bancos
- Instituições de crédito reguladas.
Infraestruturas dos Mercados Financeiros
- Bolsas de valores, sistemas de compensação e liquidação.
Saúde
- Hospitais, clínicas e outras entidades prestadoras de cuidados de saúde essenciais.
Água Potável e Residuária
- Operadores de distribuição e tratamento de água.
Administração Pública
- Entidades governamentais e serviços de tecnologia da informação associados.
Espaço Digital
- Fornecedores de DNS, registradores de domínio, serviços de hospedagem em nuvem.

Setores Importantes

Fornecimento de Produtos e Serviços Digitais
- Plataformas online e marketplaces.
Fabricação de Produtos Críticos
- Indústria farmacêutica, dispositivos médicos, semicondutores e químicos.
Correios e Logística
- Empresas de transporte e entrega de pacotes.
Gestão de Resíduos
- Operadores de reciclagem e descarte de resíduos perigosos.
Setor Alimentar
- Produção e distribuição de alimentos essenciais.