Não existe uma taxa fixa para NIS2
Não existe um montante concreto para "conformidade com a NIS2", e ninguém pode garantir-lhe isso antecipadamente com certeza. A diretiva prescreve dez categorias de medidas, mas a forma como uma empresa as implementa, e portanto quanto custa, varia muito de acordo com a situação. Uma empresa de instalação com alguns computadores portáteis e um pacote de contabilidade na nuvem tem uma base diferente da de uma empresa com sua própria sala de servidores e múltiplos fornecedores de IT.
O que realmente determina os custos é um número limitado de fatores: o tamanho e complexidade do seu ambiente de IT, quantas das medidas solicitadas você já implementou, se você terceiriza trabalho para um terceiro, e quais ferramentas ou software você adquire. Isso torna difícil citar um montante, mas torna possível compreender para onde vai o dinheiro.
O que determina a sua situação específica
O primeiro item de custo é frequentemente não visível numa fatura: o tempo necessário internamente para inventariar o que já existe. Quem deve ter acesso a quais sistemas, quais fornecedores têm acesso à sua rede, e como um incidente é atualmente tratado. As empresas que já têm esta base em ordem, por exemplo porque já iniciaram um projeto ISO 27001, têm menos trabalho do que as empresas que começam do zero.
O segundo fator é a escolha entre fazer você mesmo ou terceirizar. Algumas medidas, como uma política de controle de acesso ou um procedimento para relatar incidentes, são principalmente uma questão de documentação e acordos. Outras medidas, como encriptação de dados ou monitoramento do tráfego de rede, exigem mais tecnologia e portanto software ou um fornecedor externo. A quantidade disso necessária depende do que já existe.
O terceiro fator é a questão de se você contrata uma empresa de consultoria para todo o processo, ou apenas para partes específicas. A orientação completa custa mais do que a ajuda direcionada em pontos específicos, mas economiza tempo internamente. Qual escolha é mais vantajosa varia de empresa para empresa e não é uma questão que possa ser respondida em termos gerais. Quem primeiro quiser ver quais componentes são relevantes para sua própria empresa pode verificar isso a si mesmo com poucas perguntas curtas.
Custos que são frequentemente esquecidos
Além dos custos diretos das medidas e consultoria, existem custos que só se tornam visíveis mais tarde. Provas como uma análise de risco ou um resumo dos direitos de acesso têm frequentemente um período de validade e precisam ser atualizadas periodicamente. Isso não é uma despesa única, mas uma tarefa recorrente, e o tempo que leva conta para o quadro geral.
Além disso, os clientes enviam cada vez mais frequentemente questionários sobre segurança cibernética, e cada cliente usa seu próprio formato e portal. Preencher repetidamente informações que são em grande parte iguais leva tempo que é facilmente subestimado. Uma visão geral dos tópicos que aparecem regularmente está esclarecida por situação na base de conhecimento.
O que a supplia faz e não faz neste processo
Supplia.eu não constrói certificação e não faz qualquer avaliação do seu nível de segurança; isso continua a ser responsabilidade sua, do seu consultor e da autoridade supervisora competente. O que a plataforma faz é ajudar a que as respostas que já tem registadas reapareçam de forma consistente nos questionários que os seus clientes lhe enviam. Isso não economiza euros nas medidas subjacentes, mas economiza o tempo que custa para as documentar e apresentar repetidamente.
A informação básica sobre a NIS2 e os outros conceitos que surgem nos questionários está disponível gratuitamente para consulta, incluindo a fonte no texto oficial. O que uma subscrição acrescenta é a elaboração por obrigação com os prazos e modelos correspondentes, e uma notificação assim que algo mude que afete a sua situação. As diferenças entre gratuito e pago estão claramente apresentadas em página de preços.
Como chegar a uma estimativa realista
Como o valor depende da sua situação inicial específica, o primeiro passo mais útil não é procurar uma tarifa média, mas determinar onde você está agora. Só depois é que uma conversa com um fornecedor de TI, consultoria ou autoridade supervisora competente faz sentido, pois eles só podem dizer algo sobre custos quando se sabe o que já existe e o que ainda falta. Para questões específicas do seu negócio, um advogado ou consultoria especializada continua sendo o ponto de contato apropriado; este artigo descreve a linha geral, não aconselhamento para uma situação individual.
Gostaria de ver primeiro quais componentes são relevantes para sua empresa antes de começar a comparar custos? Faça a verificação rápida gratuita ou navegue pelos tópicos no banco de conhecimento para ver onde você está.