A importância da NIS2 no mundo empresarial e a responsabilidade da Gestão

A Diretiva NIS2 (Network and Information Security 2), sucessora da NIS, aprovada pela União Europeia, é crucial no mundo empresarial, porque estabelece uma nova e mais rigorosa abordagem para a Cibersegurança nas instituições por ela abrangidas.

Quais os principais desafios impostos pela NIS2 às Organizações?

Elencam-se alguns dos principais aspetos da responsabilidade da gestão e da implementação efetiva estabelecidos pela NIS2:

• A NIS2 estipula que os gestores e diretores das instituições têm a responsabilidade direta pela Cibersegurança da instituição. Em caso de incidente ou falha de Segurança que poderia ter sido prevenida, os gestores da instituição podem ser responsabilizados pessoalmente. Isto incentiva que a Segurança não seja delegada apenas ao setor de TI/Segurança, mas incorporada como uma prioridade estratégica e tática da organização.
• A Diretiva visa mudar a cultura organizacional, fazendo com que a Cibersegurança seja parte do planeamento corporativo e da governança a todos os níveis. A gestão deve promover a consciencialização sobre Segurança e incluir formação regular para que todos os colaboradores estejam alinhados às práticas para a proteção de dados e segurança da informação.
• Para garantir uma implementação efetiva da NIS2, o Gestor deve assegurar recursos financeiros e tecnológicos suficientes para a implementação de práticas de Segurança. Isto inclui a contratação de equipas especializadas, a aquisição de ferramentas avançadas de Cibersegurança, e o investimento numa infraestrutura de segurança robusta. Os Gestores precisam estar preparados para justificar e direcionar os investimentos adequados para atender às exigências da NIS2.
• A NIS2 exige que as organizações desenvolvam políticas de Segurança documentadas e claras e façam uma gestão de riscos de forma contínua. Estas políticas devem incluir medidas preventivas, mecanismos de deteção de ameaças e planos de resposta eficazes face a incidentes de Segurança. A responsabilidade pela supervisão destas políticas recai sobre o órgão de Gestão, que deve garantir que as políticas são adequadas, implementadas e atualizadas.
• A Diretiva NIS2 estabelece que, em caso de incidente considerado críitico (de acordo com a taxonomia estabelecida pelo CNCS), a instituição deve notificar as autoridades competentes com a maior celeridade e dentro de determinado prazo. Esta comunicação é essencial para a contenção de ameaças e para permitir uma resposta coordenada. Os gestores são diretamente responsáveis por garantir que esta comunicação é feita de acordo com os prazos e procedimentos da NIS2, e a omissão ou atraso na notificação pode conduzir a rigorosas sanções.
• A Gestão é responsável pela realização de auditorias regulares e avaliações de conformidade para assegurar que a instituição está em conformidade com a NIS2. Estas auditorias podem envolver testes de intrusão, revisões de política de Segurança e monitorização continua de vulnerabilidades, de forma a garantir o ciclo de vida da vulnerabilidade. Os Gestores devem não só garantir que estes processos estão realizados, mas também preparar-se para auditorias externas e de supervisão por parte das autoridades reguladoras.
• Em casos de não conformidade, a NIS2 prevê consideráveis multas e sanções, que podem impactar as instituições de forma significativa. Além de penalidades financeiras, há sanções administrativas que podem restringir a atuação da instituição em determinadas atividades ou setores, e os Gestores podem ser suspensos ou proibidos de exercer funções de gestão. Isto reforça a responsabilidade do órgão de Gestão em garantir que as políticas e práticas de Segurança são eficazes.
• A NIS2 exige que as instituições procurem de forma contíinua melhorar os seus processos de Segurança, adaptando-se a novas ameaças e vulnerabilidades. Assim, a gestão deve promover um ambiente de aprendizagem contínua, onde novas tecnologias, tendências e ameaças sejam monitorizadas e integradas no planeamento de Segurança. A implementação de uma mentalidade de melhoria contínua ajuda a organização a responder de forma proativa a possíveis riscos.
• Cabe à gestão garantir que todos os colaboradores estão cientes dos protocolos de Segurança e com formação que lhes permita identificar e responder a Ciberameaças. Esta formação deve ser contínua e adaptada aos diferentes níveis e responsabilidades dentro da instituição. Um programa efetivo de consciencialização é crucial para minimizar os riscos humanos, que frequentemente são a principal vulnerabilidade na Ciberdefesa.

Podemos concluir que a NIS2 é essencial para o mundo empresarial, pois cria um padrão de Segurança mais elevado e mais consistente, obrigando as instituições a protegerem as suas operações, os seus dados e acima de tudo a garantir o fornecimento de bens e serviços com riscos mais reduzidos. Com o foco na responsabilidade da gestão e na criação de uma cultura de Segurança, a NIS2 apoia as instituições a prepararem-se melhor para o futuro digital, criando um mercado mais seguro e resiliente. A conformidade com a Diretiva NIS2 não é apenas uma questão de regulamentação, mas uma oportunidade para as instituições garantirem sustentabilidade e vantagem competitiva num cenário digital cada vez mais complexo e turbulento.

Com uma mudança significativa ao colocar a responsabilidade da Segurança e Cibersegurança nas mãos dos Gestores das empresas, a NIS2 promove uma abordagem mais abrangente e estratégica para a Cibersegurança. Com esta Diretiva, a Segurança e a Cibersegurança não são apenas uma questão técnica, mas um componente essencial da governança institucional e de gestão dos riscos.

__
Cláudio Silva Alves
^{Cybersecurity Operations Partner da PwC Portugal}