Maturidade NIS 2 · Diretiva europeia obrigatória
Suas obrigações NIS 2, medidas tema por tema e traduzidas em um plano de ação com custos.
10 temas, undefined perguntas, uma escala de 5 níveis. E a ação que faz cada nível avançar para o seguinte.
Os 10 temas do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 ao mesmo tempo.
Maturidade NIS 2 · Diretiva europeia obrigatória
10 temas, undefined perguntas, escala de 5 níveis.
Nordhavn Industries
53 / 100
Eles medem sua maturidade com a Datamensio
Um exemplo
Essa situação poderia ser a sua.
Vamos pegar o exemplo de uma empresa: três unidades, três planilhas, nenhuma resposta em comum.
Ninguém sabe consolidar.
A Nordhavn Industries, 2.400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta como está o grupo. Cada unidade responde na sua própria planilha, com suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico Diretiva (UE) 2022/2555, chamada NIS 2 iniciado nas três unidades ao mesmo tempo, a partir das anotações de entrevista dos responsáveis. O referencial já estava escrito, os 10 temas e os níveis N1 a N5 também.
Dois gastos evitados antes de serem assumidos.
Um score de 53 em 100, um desvio concentrado em três temas. O assistente de IA identificou que duas ações do plano se repetiam com as de outra auditoria. A apresentação dos resultados ao comitê foi solicitada em uma frase.
O que isso evitou para eles
- 3unidades medidas na mesma base, em vez de três questionários para retrabalhar
- 2ações duplicadas detectadas antes do gasto
- 1apresentação dos resultados ao comitê, sem retrabalho manual
Esses números são de um exemplo. Eles poderiam ser os seus.
A norma impõe processos. A Datamensio mostra onde você está.
01
O referencial já está escrito
Temas, perguntas e níveis N1 a N5 redigidos. Você não começa de uma planilha vazia.
02
O score sai no mesmo dia
On-line, por link de autoavaliação ou em entrevista. Tema por tema, comparável ao longo do tempo.
03
O desvio vira um plano com custos definidos
Cada passagem de nível traz sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A evolução se comprova
Campanha após campanha, contra sua meta e contra seu histórico. É o que sua diretoria pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É esse mecanismo (um nível, um nível superior e a ação que liga os dois) que transforma uma constatação em trajetória.
O dispositivo de notificação de incidentes permite cumprir o prazo de alerta antecipado de 24 horas junto à autoridade competente?
- N1
Nenhum procedimento de notificação. O canal de comunicação com a autoridade e o conteúdo esperado não estão identificados.
- N2
Existe um procedimento no papel. Os critérios de acionamento permanecem vagos e ninguém foi designado para emitir a notificação fora do horário comercial.
- N3
Os critérios de qualificação estão definidos, um responsável pela notificação é designado com suplente, e o canal junto à autoridade foi testado ao menos uma vez.
- N4
A notificação está integrada à cadeia de plantão, os prazos de 24 horas, 72 horas e um mês são acompanhados como indicadores, cada notificação é registrada com seus horários.
- N5
O dispositivo é testado por exercícios que incluem cenários noturnos e de fim de semana, e revisado após cada exercício ou incidente real, com acompanhamento documentado das revisões.
Ação para passar de N2 para N3
Redigir os critérios de qualificação de um incidente significativo, designar um responsável pela notificação e seu suplente na escala de plantão, depois realizar um teste do canal de comunicação com a autoridade no próximo exercício de crise.
« Graças à Datamensio, cumprimos nossas metas com muito mais eficiência. Os serviços de inspeção do FEDER e do nosso ministério supervisor apreciaram especialmente essa abordagem, que lhes traz dados confiáveis. »
Diretora da CCI 94CCI Île-de-France
« Acreditamos que essa é a solução mais adequada para levar nosso projeto de transformação em escala e medir o impacto de acordo com nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial se combina. Associe vários para cobrir sua atividade, ou peça para a IA escrever o seu.
Faça sua primeira mediçãoem NIS 2.
Do que trata esse referencial
A diretiva (UE) 2022/2555, chamada NIS 2, substitui a diretiva NIS de 2016 e amplia consideravelmente o número de entidades envolvidas. Ela distingue entidades essenciais e entidades importantes, distribuídas em 18 setores, da energia à saúde, dos transportes ao setor digital, passando pela gestão de resíduos e fabricação de produtos críticos. Seu artigo 21 enumera 10 categorias de medidas de gestão de riscos: análise de riscos, tratamento de incidentes, continuidade de negócios, segurança da cadeia de suprimentos, aquisição e manutenção de sistemas, avaliação da eficácia, higiene e capacitação, criptografia, controle de acesso e gestão de ativos, autenticação multifator. O artigo 20 responsabiliza os órgãos de direção, que devem aprovar as medidas e passar por capacitação.
A dificuldade não está em ler o texto, está em saber onde você se encontra. A diretiva fixa objetivos, não exigências técnicas detalhadas, e deixa para as transposições nacionais o papel de detalhar. As perguntas concretas aparecem em toda parte: a cadeia de suprimentos está realmente coberta, ou apenas os fornecedores de TI já contratados? O dispositivo de notificação consegue cumprir o prazo de 24 horas para o alerta antecipado, incluindo finais de semana? O órgão de direção aprovou formalmente as medidas, com um registro verificável? Essas respostas não se deduzem de um inventário de ferramentas.
Uma confusão frequente merece ser esclarecida: a NIS 2 não é certificável. Nenhum organismo emite certificado NIS 2. O controle é de responsabilidade das autoridades nacionais competentes, com um regime de supervisão mais rigoroso para entidades essenciais do que para entidades importantes. Outro ponto comumente mal compreendido: o escopo não depende apenas do porte, algumas entidades são designadas independentemente do número de funcionários. Por fim, as transposições nacionais não foram todas adotadas no mesmo ritmo, o que não elimina a obrigação de preparação para grupos presentes em vários Estados-membros. Para exportadores e prestadores de serviço de fora da União Europeia que atendem entidades sujeitas à NIS 2, demonstrar essa maturidade passa a ser uma condição de acesso ao mercado europeu.
O diagnóstico de maturidade responde a uma pergunta diferente da auditoria de conformidade. A auditoria conclui com conforme ou não conforme, em uma data determinada. O diagnóstico posiciona cada prática em uma escala progressiva e indica qual ação específica leva ao nível seguinte. Em um texto que deixa margem de interpretação às autoridades, essa leitura por níveis é mais útil que um veredito binário: ela permite demonstrar uma trajetória, priorizar investimentos e comparar entidades de um mesmo grupo.
No Datamensio, o referencial NIS 2 está pronto para uso. Você também pode adaptá-lo ao seu contexto: a IA ajusta os temas, as perguntas e os níveis segundo o método CMMI, ou constrói uma versão setorial a partir dos seus próprios documentos, política de segurança, plano de continuidade ou exigências da sua transposição nacional.
Norma de referência: Diretiva (UE) 2022/2555, chamada NIS 2
Os temas avaliados
Escopo e governança
Qualificação como entidade essencial ou importante, registro junto à autoridade nacional, papéis e responsabilidades, aprovação das medidas pelo órgão de direção, capacitação dos dirigentes.
Análise de riscos e política de segurança
Política formalizada e aprovada, metodologia de avaliação de riscos, escopo coberto, critérios de aceitação, frequência das reavaliações.
Gestão de incidentes
Detecção e qualificação, procedimentos de tratamento, registro de logs, retornos de experiência, articulação com as equipes operacionais.
Notificação às autoridades
Dispositivo de alerta antecipado em 24 horas, notificação em 72 horas, relatório final em um mês, informação aos destinatários dos serviços, plantão e cadeia de decisão.
Continuidade de negócios e gestão de crise
Backups e restauração testada, planos de continuidade e recuperação, gestão de crise, exercícios e cenários de ransomware.
Segurança da cadeia de suprimentos
Mapeamento de fornecedores e prestadores críticos, cláusulas contratuais de segurança, avaliação de terceiros, gestão de vulnerabilidades transmitidas pela cadeia.
Aquisição, desenvolvimento e manutenção
Segurança no ciclo de vida dos sistemas, gestão de correções, divulgação e tratamento de vulnerabilidades, homologação e implantação em produção.
Controle de acesso e gestão de ativos
Inventário de ativos, gestão de contas privilegiadas, revisões de permissões, autenticação multifator, comunicações seguras de emergência.
Criptografia e proteção de dados
Política de criptografia, gestão de chaves, criptografia de dados em repouso e em trânsito, uso de protocolos.
Higiene de TI, capacitação e avaliação da eficácia
Programa de conscientização, práticas básicas de higiene de TI, indicadores, auditorias internas, mensuração da eficácia das medidas de gestão de riscos.
Uma versão curta do referencial, com undefined perguntas, está disponível para autoavaliação on-line. A versão completa tem 10 temas e undefined perguntas.
Perguntas frequentes
A NIS 2 é certificável?
Não. Nenhum organismo emite certificado NIS 2. O controle é de responsabilidade das autoridades nacionais competentes, com um regime de supervisão diferenciado conforme a entidade seja essencial ou importante. O diagnóstico de maturidade serve para demonstrar uma trajetória documentada, não para obter um selo.
Qual a diferença entre esse diagnóstico e uma auditoria de conformidade NIS 2?
A auditoria verifica a presença de exigências em uma data determinada e conclui com uma lacuna. O diagnóstico posiciona cada prática em cinco níveis e indica a ação que leva ao nível seguinte. Os dois se complementam: o diagnóstico prepara e prioriza, a auditoria valida.
Quanto tempo leva a avaliação?
A versão curta é preenchida em 20 a 30 minutos. A versão completa, em modo colaborativo com vários participantes, geralmente leva de uma a duas semanas, sendo a maior parte do tempo dedicada a coletar informações com as equipes de segurança, compras e continuidade.
Já somos certificados ISO 27001, precisamos refazer um diagnóstico?
A ISO 27001 cobre boa parte das medidas do artigo 21, mas não todas. A notificação às autoridades dentro dos prazos exigidos, a responsabilidade do órgão de direção e o nível de exigência sobre a cadeia de suprimentos demandam uma análise específica. O diagnóstico identifica essa diferença em vez de reavaliar tudo.
É possível adaptar o referencial ao nosso setor ou à nossa transposição nacional?
Sim. Você pode modificar as perguntas, os níveis, acrescentar seus próprios temas ou partir de uma base em branco. A IA também constrói uma versão a partir dos seus documentos, por exemplo as exigências detalhadas pela sua autoridade nacional. O controle do referencial é seu.
Como comparar várias entidades de um mesmo grupo?
Cada unidade de negócio realiza sua avaliação com o mesmo referencial, o que torna as pontuações comparáveis por tema. Um roteiro transversal consolida os planos de ação e agrupa as ações redundantes, em vez de tratá-las entidade por entidade.
O plano de ação tem custos definidos?
Cada lacuna entre a pontuação e a meta gera uma ação. O catálogo de serviços apresenta uma solução para cada ação, com seu custo, prazo e impacto esperado na pontuação. A IA agrupa então essas ações em um roteiro priorizado.
Onde os dados são hospedados?
Na França, na OVH, com backup na Scaleway. Nenhuma transferência para fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, inclusive entre soluções europeias.