NIS2 é a diretiva europeia que estabelece requisitos de cibersegurança em organizações de determinados setores. Se a diretiva se aplica diretamente à sua empresa depende de dois aspetos: o setor em que opera e a dimensão da sua empresa. Se não se enquadra nessa combinação, provavelmente não é um público-alvo direto da diretiva, mas isso não significa que NIS2 nunca o afete.
Muitas empresas que caem fora do âmbito de aplicação recebem questões sobre cibersegurança de um cliente que se encontra sob NIS2. Esse cliente deve demonstrar que toda a sua cadeia está suficientemente segura e, portanto, envia um questionário aos fornecedores. Nesse caso, a diretiva não se aplica a si, mas a disposição contratual que o seu cliente lhe impõe aplica-se.
Setor e dimensão determinam a obrigação direta
A diretiva centra-se no que designa por entidades "essenciais" e "importantes": organizações em setores como energia, transportes, abastecimento de água potável, infraestruturas digitais, setor bancário e saúde, complementados por vários outros setores enumerados na própria diretiva. Para além disso, aplicam-se critérios de dimensão, que podem variar por setor e por categoria. Uma pequena empresa de instalação sem papel em nenhum desses setores fica normalmente fora da aplicação direta de NIS2. A lista exata de setores e a forma como os Estados-Membros a transpuseram para a legislação nacional encontram-se no texto oficial e junto da autoridade reguladora designada no seu país; nos Países Baixos, é a Rijksinspectie Digitale Infrastructuur.
Também fora do setor: a questão do seu cliente
Uma empresa que se enquadra em NIS2 deve, entre outras coisas, avaliar a segurança das organizações com as quais colabora. Isto é chamado risco da cadeia ou risco de fornecedor, e a diretiva menciona isto explicitamente como ponto de atenção. Na prática, isto traduz-se num questionário ou numa cláusula contratual do seu cliente: tem um ponto de contacto para incidentes, relata uma violação de dados dentro de um prazo determinado, tem o controlo de acesso organizado. Estas são muitas vezes as mesmas medidas que as dez que a própria diretiva menciona para as empresas que se lhe aplicam diretamente. Mais sobre o que essas questões significam exatamente e como se relacionam com as obrigações existentes como o RGPD, pode ler em a explicação por tema na base de conhecimento.
Como verificar isto para si
Se NIS2 se aplica diretamente a si é uma questão de facto que é melhor responder com base na classificação oficial de setores e critérios de dimensão tal como transposta no seu país. Se tiver dúvidas, a autoridade reguladora competente ou um jurista é o parceiro indicado para avaliar isso; este artigo não pode substituir essa avaliação. O que pode verificar rapidamente é se recebe sinais que indicam envolvimento indireto: um cliente que acabou de enviar um questionário sobre cibersegurança, um contrato que se refere a obrigações de comunicação, ou uma contratação pública em que se pedem medidas de segurança. Estes são indicadores práticos, não um parecer jurídico.
E se receber questões, independentemente da obrigação direta
Quer se aplique diretamente a NIS2 ou apenas sofra as consequências através de um cliente, o questionário em si não muda muito: pede-se-lhe que descreva as medidas que tomou e que as comprove. Isto sobrepõe-se frequentemente com o que já documentou para outros fins, como controlo de acesso para o RGPD ou procedimentos de emergência para a continuidade comercial. É essa sobreposição que faz com que as empresas tenham de apresentar repetidamente o mesmo tipo de documentação, cada vez em formato ligeiramente diferente. Respostas a perguntas frequentes sobre como funcionam exatamente este tipo de listas encontram-se em as perguntas frequentes sobre questionários, e uma explicação sobre a origem das informações neste site está em a página sobre como funciona.
Não existe uma autoridade que determine para si se a NIS2 se aplica à sua empresa; essa avaliação permanece sob sua responsabilidade, de seu consultor jurídico ou da autoridade supervisora. O que pode fazer rapidamente é verificar se os sinais que reconhece se adequam a um envolvimento direto ou indireto. Se deseja ver isso de forma clara lado a lado, pode em algumas perguntas obter uma indicação de onde se encontra, ou rever calmamente os tópicos que possam ser aplicáveis à sua situação.