Pacote de preparação para a NIS2: uma verificação do âmbito, um relatório de lacunas face às dez medidas de segurança do artigo 21.º e as suas políticas iniciais, redigidos a partir das suas respostas em 10 dias úteis

Os prestadores de serviços de computação em nuvem, de serviços de centros de dados, de serviços geridos e de serviços de segurança geridos constam todos do Anexo I, e a Diretiva refere o software como serviço entre os modelos de serviços de computação em nuvem. Para estes prestadores, o país que o supervisiona é aquele onde são tomadas principalmente as decisões sobre medidas de cibersegurança. A verificação de âmbito compara os seus serviços com estas definições.

Pode ser. Nos termos do artigo 21.º, n.º 2, alínea d), as empresas abrangidas pela NIS2 têm de gerir a segurança da sua cadeia de abastecimento, incluindo os fornecedores diretos, pelo que enviam requisitos de segurança a fornecedores que a Diretiva não abrange. A verificação de âmbito pode concluir que não está abrangido. O pacote passa então a ser o conjunto de evidências que esses clientes pedem: políticas escritas e um relatório de lacunas que pode apresentar-lhes.

Políticas de análise de risco e de segurança dos sistemas de informação; tratamento de incidentes; continuidade das atividades, como cópias de segurança e recuperação em caso de catástrofe, e gestão de crises; segurança da cadeia de abastecimento; segurança na aquisição, no desenvolvimento e na manutenção de sistemas, incluindo o tratamento e a divulgação de vulnerabilidades; avaliação da eficácia das medidas; práticas básicas de ciber-higiene e formação; criptografia e, se for caso disso, encriptação; segurança dos recursos humanos, controlo de acesso e gestão de ativos; e autenticação multifator e comunicações seguras, se for caso disso.

Nos termos do artigo 23.º, um incidente significativo é comunicado ao seu CSIRT ou à autoridade nacional por fases: um alerta precoce nas 24 horas seguintes ao momento em que toma conhecimento dele, uma notificação do incidente nas 72 horas seguintes e um relatório final, o mais tardar um mês após a notificação. O procedimento incluído no pacote indica quem decide, quem comunica e o que contém cada comunicação. Para ter um plano completo de resposta a incidentes redigido e depois testado com a sua equipa, o plano de resposta a incidentes com exercício de simulação custa 690 €, pagos uma única vez.

Nos termos do artigo 20.º, aprova as medidas de segurança, supervisiona a sua aplicação e pode ser responsabilizado por violações, e os seus membros têm de seguir formação. O resumo de uma página apresenta-lhe o resultado do âmbito e as principais lacunas, e a política de formação abrange a formação do próprio órgão.

Depende do seu país, e a verificação de âmbito indica os passos para o seu. Em Itália, ao abrigo do Decreto Legislativo 138/2024, as empresas registam-se todos os anos na plataforma da Agência Nacional de Cibersegurança (ACN), entre 1 de janeiro e 28 de fevereiro. Na Alemanha, a Lei do BSI exige o registo junto do Serviço Federal de Segurança da Informação (BSI) no prazo de três meses após a primeira qualificação, através do portal do BSI.

Os países da UE tinham de adotar as suas leis até 17 de outubro de 2024 e aplicá-las a partir de 18 de outubro de 2024, e fizeram-no em momentos diferentes. No dia da entrega, verificamos a lei em vigor no seu país e as páginas da respetiva autoridade, e a verificação de âmbito cita-as. Quando uma lei nacional ainda não está em vigor, a verificação de âmbito di-lo e baseia-se na Diretiva.

Em caso de violação do artigo 21.º ou 23.º, cada país tem de permitir coimas às entidades essenciais até, pelo menos, 10 milhões de euros ou 2 % do volume de negócios anual total a nível mundial, consoante o que for mais elevado, e às entidades importantes até, pelo menos, 7 milhões de euros ou 1,4 %, consoante o que for mais elevado. A lei nacional fixa os montantes exatos.

Não. Preparamos a verificação de âmbito e os documentos a partir das suas respostas e dos textos publicados. Não somos uma sociedade de advogados e não testamos os seus sistemas nem certificamos nada. O seu próprio advogado ou a autoridade nacional tem a última palavra sobre o âmbito, e o pacote, por si só, não o torna conforme.

As suas respostas são lidas por modelos de IA cujos fornecedores estão nos Estados Unidos, ao abrigo de termos comerciais em que o fornecedor não treina os modelos com elas, e a AIGROW não treina modelos de IA com os seus dados. Estas transferências seguem as cláusulas contratuais-tipo adotadas pela Comissão Europeia em 2021, que o nosso acordo de tratamento de dados inclui. Eliminamos as suas respostas, os documentos e os nossos ficheiros de trabalho 30 dias após a entrega, ou antes, se o pedir.

Em 10 dias úteis após as suas respostas completas. Se uma autoridade ou um cliente precisar do pacote mais cedo, envie um email para hello@aigrow.gg antes de pagar e dizemos-lhe se conseguimos cumprir a data.