Diretiva NIS 2

Para um colaborador, a NIS 2 traduzir-se-á sobretudo em regras internas mais claras, em França assim que a lei de transposição entrar em vigor. O artigo 21 pede que cada entidade abrangida adote uma lista mínima de medidas, entre as quais as práticas básicas de ciberhigiene, a formação em cibersegurança, políticas de controlo de acesso e, consoante as necessidades, a autenticação multifator¹. O artigo 20 pede ainda aos Estados que incentivem as entidades a formar regularmente o seu pessoal, para que cada um saiba identificar os riscos e avaliar as práticas de segurança¹.

O ponto que mais depende de si é a comunicação dos incidentes. A diretiva pede que uma entidade envie um alerta precoce ao CSIRT ou à autoridade competente nas 24 horas seguintes ao conhecimento de um incidente significativo, depois uma notificação do incidente em 72 horas e um relatório final num prazo de um mês¹. Estes prazos perdem o sentido se a informação ficar retida pelo caminho. Um correio eletrónico suspeito aberto na segunda-feira e comunicado na quinta-feira são três dias durante os quais um atacante pôde avançar sem que ninguém o procurasse.

Na aceção da diretiva, um incidente é «significativo» se causar, ou puder causar, uma perturbação grave dos serviços ou perdas financeiras para a entidade, ou prejuízos consideráveis para outras pessoas¹. A triagem cabe à equipa de segurança; o seu papel é comunicar. Se o incidente afetar dados pessoais, o RGPD acrescenta a sua própria obrigação: notificar a CNIL no prazo máximo de 72 horas após uma violação que apresente risco para as pessoas⁴. O artigo sobre o RGPD detalha este procedimento.

No programa Brain, este gesto corresponde ao reflexo «Comunicar qualquer incidente de segurança à equipa de cibersegurança». Comunique também os seus próprios erros, um clique por engano, por exemplo: sem a sua comunicação, a equipa de segurança pode nunca vir a saber que um ataque começou. O artigo sobre a cultura da sanção explica por que razão o medo de ser punido leva a esconder os incidentes.

A NIS 2 leva a cibersegurança até ao nível dos órgãos de direção. A diretiva pede que estes aprovem as medidas de gestão dos riscos e supervisionem a sua aplicação, que possam ser responsabilizados se a entidade violar estas obrigações, e que os seus membros recebam formação¹. Em França, estas obrigações aplicar-se-ão quando a lei de transposição entrar em vigor.

Quanto às coimas, os Estados devem prever um limite máximo de pelo menos 10 milhões de euros ou 2 % do volume de negócios anual a nível mundial, aplicando-se o montante mais elevado, quando uma entidade essencial incumpre as suas obrigações de segurança ou de declaração. Para uma entidade importante, esse limite é de pelo menos 7 milhões de euros ou 1,4 %¹. Numa entidade essencial que não corrija as suas falhas apesar das injunções da autoridade, a diretiva permite ainda que esta solicite que uma pessoa com responsabilidades de direção, ao nível de diretor-geral ou de representante legal, seja temporariamente proibida de exercer essas responsabilidades na entidade¹.

A segurança da cadeia de abastecimento faz parte das medidas exigidas pela diretiva, incluindo as relações com os fornecedores e prestadores de serviços diretos¹: o artigo sobre a avaliação do risco dos fornecedores trata deste tema. Para ajudar as organizações, a ANSSI publicou uma versão de trabalho do seu Référentiel Cyber France (ReCyF), que enumera as medidas que recomenda para atingir os objetivos de segurança da NIS 2². Um exercício de crise em mesa permite verificar, antes de um incidente real, que o alerta pode partir em menos de 24 horas.

A diretiva foi publicada no Jornal Oficial da União Europeia em 27 de dezembro de 2022. Os Estados deviam transpô-la até 17 de outubro de 2024 e aplicá-la a partir de 18 de outubro de 2024, data em que a diretiva NIS de 2016 foi revogada¹. Deviam também elaborar a lista das suas entidades essenciais e importantes até 17 de abril de 2025¹.

O artigo 21 fixa uma lista mínima de medidas, assente numa abordagem «todos os riscos»¹:

• análise dos riscos e políticas de segurança dos sistemas de informação;
• gestão de incidentes;
• continuidade das atividades, cópias de segurança e gestão de crises;
• segurança da cadeia de abastecimento;
• segurança na aquisição, no desenvolvimento e na manutenção das redes e dos sistemas de informação, incluindo o tratamento e a divulgação de vulnerabilidades;
• avaliação da eficácia das medidas;
• ciberhigiene de base e formação em cibersegurança;
• criptografia e, se for caso disso, cifragem;
• segurança dos recursos humanos, controlo de acesso e gestão de ativos;
• autenticação multifator e comunicações seguras, consoante as necessidades.

O artigo 23 fixa o calendário de declaração de um incidente significativo¹:

Prazos contados a partir do momento em que a entidade tem conhecimento do incidente significativo
24 horas       alerta precoce ao CSIRT ou à autoridade competente
72 horas       notificação do incidente, com uma primeira avaliação da gravidade e do impacto
a pedido       relatório intercalar
1 mês          relatório final, contado a partir da notificação do incidente

A Comissão Europeia enviou cartas de notificação para cumprimento em 28 de novembro de 2024, depois pareceres fundamentados em 7 de maio de 2025. Em 8 de julho de 2026, recorreu ao Tribunal de Justiça da União Europeia contra a Irlanda, a Espanha, a França e os Países Baixos, pedindo uma quantia fixa e sanções pecuniárias diárias até à transposição completa⁵.

Em França, a transposição passa pelo projeto de lei relativo à resiliência das infraestruturas críticas e ao reforço da cibersegurança. Na versão depositada, o seu título II, dedicado à cibersegurança, remete para a Diretiva (UE) 2022/2555 e define as entidades essenciais e importantes, com, por exemplo, um limiar de pelo menos 50 trabalhadores para uma entidade importante⁶. O Governo depositou-o no Senado em 15 de outubro de 2024, em procedimento acelerado, e o Senado aprovou-o em 12 de março de 2025. A comissão especial da Assembleia Nacional depositou o seu texto em 10 de setembro de 2025⁷. A Conferência dos Presidentes da Assembleia tinha inscrito o projeto de lei nas sessões de 7 e 9 de outubro de 2026⁸, e retirou-o depois, em 6 de outubro de 2026, sem fixar nova data⁹. À data da consulta, o dossiê legislativo não menciona nenhuma apreciação em sessão pública na Assembleia⁷.

Entretanto, a ANSSI convida as futuras entidades essenciais e importantes a reforçar desde já o seu nível de segurança, e esclarece que o seu referencial ReCyF poderá ser ajustado ao longo dos debates parlamentares².