cliente questiona como respondemos a um incidente de ciberataque, como preencho isso

Plano de resposta a incidentes: processo, não apenas documento

A pergunta sobre o plano de resposta a incidentes diz respeito a como a organização reage quando um incidente de segurança é identificado: quem é notificado, quem decide sobre escalação, como a recuperação é iniciada e como é feita a comunicação aos clientes ou autoridades supervisoras. Um formulário frequentemente solicita o documento em si — o plano de resposta a incidentes ou a descrição do procedimento — mas a maioria das partes compradora também verifica implicitamente se o plano foi utilizado ou testado. Uma resposta "sim, existe um plano" sem que um exercício ou um incidente real tenha ocorrido é factualmente correta, mas fraca; mencione que existe um procedimento e o que pode ser demonstrado sobre ele, como um relatório de teste ou uma avaliação após um incidente anterior.

Se faltar um plano formalmente testado, então "não" com uma breve explicação é melhor do que um "sim" preenchido sem um documento subjacente. Alguns clientes perguntam especificamente sobre prazos de notificação para eles como fornecedor — essa é uma obrigação contratual, não automaticamente o mesmo prazo de uma obrigação legal de notificação. Não confunda os dois na resposta: o que você se compromete com seu cliente em um SLA é separado do que eventualmente deve ser comunicado a uma autoridade supervisora. Esta pergunta está frequentemente relacionada com o procedimento para o tratamento de incidentes de segurança, e com a questão de se a recuperação e o desvio de contingência estão bem organizados através de cópias de segurança e uma instalação de emergência — um formulário às vezes divide isso em várias perguntas que no dossiê pertencem juntas.

Base legal: artigo 21.º, n.º 2 da Diretiva NIS2 e Anexo A

A gestão de incidentes é mencionada como medida separada no artigo 21.º, n.º 2 da Diretiva NIS2, ao lado da análise de risco e da continuidade operacional — é uma das dez medidas que a diretiva distingue. ISO/IEC 27001 elabora isso nas medidas de controle do Anexo A, onde a gestão de incidentes forma sua própria categoria com requisitos de detecção, resposta e avaliação. A Lei de Cibersegurança implementa essa obrigação no direito holandês e deverá entrar em vigor em 15 de agosto de 2026; até essa data, a conformidade com a diretiva em si é o ponto de partida para fundamentar uma resposta.