Diretiva NIS 2: fortalecer a cibersegurança e a resiliência na UE

O setor da Energia é vasto e diversificado do ponto de vista da Diretiva NIS 2, abrangendo organizações que fornecem eletricidade, aquecimento/arrefecimento, petróleo, gás e hidrogénio. Esta diretiva exige que as organizações deste setor reforcem a segurança e a resiliência dos sistemas que desempenham um papel vital na produção, fornecimento, distribuição, armazenamento e transmissão de energia.

As organizações deste setor devem considerar o tipo de clientes a quem prestam serviços e implementar medidas que sejam apropriadas e proporcionais aos riscos que as suas infraestruturas enfrentam. Estas medidas podem variar desde formação direcionada para a gestores e stakeholders de cibersegurança e segurança física até à realização de avaliações anuais de cibersegurança e risco. Além disso, planos robustos de resposta e recuperação de desastres são cruciais para mitigar os impactos dos incidentes cibernéticos.

De acordo com a Diretiva NIS 2, o setor dos transportes incluí: o transporte aéreo, ferroviário, aquático e rodoviário. Estas devem identificar e proteger a sua infraestrutura crítica, comunicar incidentes atempadamente e colaborar com as entidades reguladoras relevantes. Interrupções significativas no setor dos transportes têm, historicamente, provocado um efeito de repercussão em toda a sociedade.

As organizações devem, portanto, proteger os seus dados em tempo real e a segurança geral da sua cadeia de abastecimento. São necessários investimentos substanciais para melhorar a segurança das tecnologias operacionais a resiliência a longo prazo. As tecnologias utilizadas para facilitar o transporte devem cumprir um padrão rigoroso, sendo responsabilidade da entidade assegurar que todos os fornecedores envolvidos na cadeia de abastecimento mantenham o nível de segurança, ou superior, para reduzir o risco de ciberataques. Além disso, a realização regular de testes de resiliência em cibersegurança também é essencial para promover uma cultura de melhoria contínua nas medidas de proteção.  

O setor financeiro possui uma ampla gama de requisitos de conformidade, e a Diretiva NIS 2 não é exceção. Para evitar a duplicação das obrigações das entidades que operam nestes setores, a Diretiva estabelece que, quando uma entidade estiver sujeita a obrigações específicas do setor que sejam “pelo menos equivalentes em efeito” às obrigações substanciais de cibersegurança ou de notificação de incidentes previstas na Diretiva NIS 2, essas obrigações da NIS 2 não serão aplicáveis.

O Regulamento sobre a Digital Operational Resilience Act (DORA) é  considerado um regulamento específico do setor para as entidades financeiras no que diz respeito à Diretiva NIS 2. Consequentemente, as disposições do DORA relacionadas com a gestão de riscos de TIC, incidentes, relatórios, testes de resiliência e partilha de informações aplicar-se-ão em vez das previstas na Diretiva NIS 2. Do ponto de vista da NIS 2, o regulamento estabelece regras uniformes sobre a segurança das redes e dos sistemas de informação das entidades financeiras, tais como bancos, companhias de seguros e empresas de investimento.

O setor da administração pública gere grandes quantidades de dados sensíveis, que devem ser sempre protegidos. Reconhecida como setor de importância crítica, as entidades nos setores dos serviços sociais, regulação económica e representação política são frequentemente alvo de ciberataques. Ciberataques bem-sucedidos podem causar disrupções operacionais significativas ou violações de dados com impactos sociais de longo alcance.

Medidas robustas de cibersegurança são fundamentais para proteger os ativos de informação e os dados pessoais. Existem diferentes níveis de consciencialização sobre cibersegurança em todo o setor, pelo que a diretiva exige que as organizações invistam fortemente na formação nesta área. Além da formação, as avaliações de risco regulares e os relatórios para melhorias contínuas são essenciais. Estas ações são fundamentais para reforçar o setor face ao cenário de ameaças cibernéticas em constante evolução, garantindo a proteção dos ativos de informação e dos dados pessoais.

Para a Diretiva NIS 2, o setor da saúde engloba prestadores de cuidados de saúde, incluindo fabricantes de produtos farmacêuticos, como vacinas. O potencial de incidentes cibernéticos em locais como hospitais e centros de saúde pode ter consequências ameaçadoras, destacando a importância de proteger os dados dos pacientes e garantir a sua disponibilidade.

Incidentes cibernéticos recentes que afetaram o setor da saúde tiveram efeitos de longo alcance, especialmente, sobre populações vulneráveis. As organizações deste setor devem adotar medidas para mitigar tais perturbações e garantir a continuidade da prestação de serviços essenciais. Tais medidas incluem o aperfeiçoamento e testes regulares dos sistemas de cibersegurança, a formação dos colaboradores em práticas de cibersegurança, o desenvolvimento de planos abrangentes de resposta e comunicação de incidentes, e a proteção dos dados dos pacientes através de procedimentos adequados de manuseamento e armazenamento dos mesmos.

Reconhecido como uma entidade importância crítica sob a Diretiva NIS 2, o setor espacial apoia várias indústrias, incluindo telecomunicações, navegação e segurança nacional. A sofisticação dos ciberataques neste setor, muitas vezes planeados por organizações criminosas, exige que as organizações cumpram os requisitos mais rigorosos estabelecidos pela Diretiva.

A complexidade deste setor é amplificada pelas barreiras físicas associadas aos locais remotos onde os seus sistemas operam (ou seja, no espaço), bem como pela dependência de sistemas antigos que foram desenvolvidos sem considerar a cibersegurança. As entidades desta indústria devem concentrar-se na segurança da cadeia de abastecimento e colaborar estreitamente com as entidades reguladoras para identificar e mitigar os riscos de cibersegurança. Isto inclui a realização de uma diligência rigorosa na escolha de fornecedores, a gestão eficaz dos riscos na cadeia de abastecimento e a monitorização atenta das interações com terceiros para reforçar a segurança global.

Fornecer água potável à sociedade e gerir as águas residuais é fundamental para garantir saúde pública e reduzir o impacto ambiental. A Diretiva dá uma grande importância à proteção da infraestrutura, incluindo centros de tratamento e distribuição de água, que dependem fortemente de sistemas de tecnologia operacional (OT) para processos como a dosagem de produtos químicos e a regulação de pressão.

A implementação dos controlos exigidos pela Diretiva NIS 2 implicará que as entidades no setor de abastecimento de água terão de investir significativamente em medidas de proteção cibernética. Os sistemas de tratamento de água atuais foram desenvolvidos muito antes de a cibersegurança ser uma preocupação, desta forma, os seus sistemas são inadequados do ponto de vista da cibersegurança. As organizações afetadas terão de estabelecer processos de gestão de risco para os sistemas OT, garantir atualizações regulares de segurança para sistemas e plataformas, e proporcionar formação abrangente em cibersegurança aos seus funcionários. Será também necessário colaborar entre os setores para desenvolver estratégias de segurança coesas.

As entidades do setor da infraestrutura digital incluem Fornecedores de pontos de troca de tráfego; Prestadores de serviços de domain name service (DNS), excluindo operadores de servidores de nomes raiz; Registos de nomes de top-level domain (TLD); Prestadores de serviços de computação em cloud; Prestadores de serviços de centro de dados; Fornecedores de redes de distribuição de conteúdos; Prestadores de serviços de confiança; Fornecedores de redes públicas de comunicações eletrónicas; Prestadores de serviços de comunicações eletrónicas acessíveis ao público.

As entidades dentro da gestão de serviços de TIC incluem:

• Prestadores de serviços geridos;
• Prestadores de serviços de segurança geridos.

A nossa dependência da infraestrutura digital torna as entidades deste setor vitais para a vida quotidiana, uma vez que qualquer interrupção pode afetar tanto os fornecedores de tecnologia como os seus utilizadores. A natureza totalmente digital deste setor amplifica a sua vulnerabilidade a ciberataques. Os ambientes digital e físico devem ser considerados em conjunto. A Diretiva NIS 2 reconhece essas necessidades, realçando a segurança física, a resposta a incidentes, os planos de recuperação e a supervisão regulatória para proteger este setor crítico.