A diretriz NIS2: Reforçar a segurança cibernética contra o crime cibernético

Em 2024, o crime cibernético aumentou para um alto recorde, impactando governos e indústrias globalmente e ameaçando a segurança de dados importantes e infraestruturas. De acordo com um relatório da Cybersecurity Ventures, espera-se que os custos do crime cibernético atinjam $10,5 trilhões de dólares por ano até 2025, acima dos $3 trilhões de dólares em 2015{{Footnote.A74148}}.

Esse aumento é impulsionado por ataques cibernéticos cada vez mais sofisticados, incidentes de ransomware e violações de dados, com a frequência e a gravidade dos ataques crescendo a cada ano. O Relatório de Risco Global 2023{{Footnote.A74149}} do Fórum Econômico Mundial destaca que as ameaças cibernéticas estão entre os maiores riscos globais, realçando a necessidade urgente de medidas robustas de segurança cibernética.

Para combater esta ameaça crescente, a União Europeia introduziu a diretriz NIS2, uma atualização significativa da diretriz NIS original (diretriz de redes e sistemas de informação) de 2016, com um maior alcance que abrange infraestruturas mais críticas e fornecedores de serviços essenciais.

A diretriz NIS2 visa reforçar a segurança cibernética para infraestruturas críticas em toda a UE, garantindo mais resiliência e proteções mais fortes contra violações de dados e interrupções causadas por malfeitores.

O especialista em segurança David Clarke explica as principais diferenças entre a NIS e a NIS2

Âmbito e cobertura: A diretriz original da NIS concentrou-se principalmente nos operadores de serviços essenciais e dos fornecedores de serviços digitais. A NIS2 expande o seu âmbito para incluir entidades médias e grandes de uma gama mais ampla de setores, incluindo cuidados de saúde, transportes, energia, bancos e governo. Isso significa que mais organizações e entidades governamentais são agora obrigadas a cumprir rigorosos padrões de segurança cibernética.

Requisitos de segurança: A NIS2 introduz requisitos de segurança mais detalhados. As organizações devem implementar medidas de gestão de risco, realizar avaliações regulares de segurança e adotar estratégias de resposta a incidentes. A diretriz exige o uso de criptografia e controles de acesso para proteger dados confidenciais.

Relatório de Acidentes: A diretriz original dos NIS exigia que as entidades denunciassem incidentes significativos sem demora injustificada. A NIS2 endurece este requisito, obrigando que os incidentes sejam reportados dentro de 24 horas após a detecção, garantindo uma resposta mais rápida a ataques e interrupções associadas.

Supervisão e execução: A NIS2 reforça o papel das autoridades nacionais na supervisão e aplicação do cumprimento. As sanções por incumprimento também são mais severas, com multas potencialmente chegando a €10 milhões ou 2% do volume de negócios anual global da empresa, o que for mais alto.

Segurança da cadeia de suprimentos: A NIS2 enfatiza a importância de proteger a cadeia de suprimentos crítica, exigindo que as empresas e os governos avaliem e gerem os riscos de segurança cibernética colocados pelos seus fornecedores e prestadores de serviços.

Quem será afetado?

O âmbito expandido da NIS2 significa que uma ampla gama de setores será afetada. Estes incluem energia, transportes, bancos, infraestruturas de mercado financeiro, cuidados de saúde, abastecimento e distribuição de água potável, infraestruturas digitais, governos e o setor aeroespacial. As médias e as grandes empresas nesses setores devem assegurar o cumprimento da nova diretriz a partir de 17 de outubro de 2024.

Possíveis multas e penalidades

O não cumprimento da diretriz NIS2 pode resultar em multas substanciais. As organizações que não cumprem os padrões necessários ou que não reportem incidentes rapidamente podem enfrentar penalidades de até €10 milhões ou 2% do seu volume de negócios anual global. Estas rigorosas penalidades destacam a importância de aderir à diretriz para evitar danos financeiros e à reputação.

Não está na UE?

Mesmo aqueles que não estão sediados na UE são afetados pelo NIS2. Se a sua organização opera em, ou com qualquer entidade da UE, você está sujeito a estes regulamentos e quaisquer penalidades subsequentes pelo não cumprimento.