O que precisa saber sobre as dez medidas da NIS2?
A Diretiva NIS2 descreve dez tipos de medidas com as quais as organizações podem demonstrar sua segurança digital. Não se trata de dez regras isoladas que você deve cumprir uma a uma, mas de dez áreas em que uma organização deve ter políticas e procedimentos. Muitos clientes adotam essas áreas literalmente em suas listas de verificação de segurança cibernética, porque, por sua vez, precisam demonstrar que seus fornecedores estão fazendo algo a respeito.
Se a diretiva se aplica diretamente à sua organização depende do setor em que você atua e do seu tamanho. Muitas empresas menores não estão diretamente sujeitas à NIS2, mas ainda recebem as perguntas porque seu cliente está e a cadeia deve fazer perguntas. Essa diferença entre estar diretamente sujeito à diretiva e fazer parte da prestação de contas de outra pessoa é exatamente onde muita confusão surge.
Sobre o que tratam as dez áreas
A diretiva menciona, entre outras coisas, análise de risco e política de segurança da informação, tratamento de incidentes, continuidade dos negócios e gerenciamento de crises em caso de perturbação, e segurança da cadeia de suprimentos. Além disso, menciona segurança na aquisição, desenvolvimento e manutenção de sistemas de rede e informação, política para avaliar a eficácia das medidas, e boas práticas no campo da higiene cibernética e treinamento de conscientização para funcionários. As últimas áreas tratam de política para o uso de criptografia e encriptação, segurança de pessoal e política de acesso, gerenciamento de ativos de negócios, e o uso de autenticação multifator ou soluções comparáveis para comunicação segura.
É importante ver que estas são áreas de política, não uma lista de verificação com um preenchimento único correto. Uma empresa de instalação com dez funcionários provavelmente fornecerá uma abordagem diferente e mais simples em cada uma dessas áreas do que um provedor de serviços de TI com cem funcionários. Os supervisores examinam se as medidas correspondem aos riscos associados à organização, não a um modelo fixo que seja igual para todos.
Por que seu cliente o procura
Se seu cliente está sujeito à NIS2, esse cliente deve ser capaz de demonstrar que seus fornecedores também dedicam atenção a essas áreas. Por isso as listas de verificação geralmente cobrem literalmente as dez áreas: você tem um procedimento de incidente, usa autenticação multifator, tem política para seus fornecedores. Para você, como receptor da lista de verificação, isso geralmente significa que os mesmos dez tópicos aparecem em formulação ligeiramente diferente cada vez que um cliente envia a lista.
Esse é também imediatamente o maior problema prático: não o conteúdo das perguntas, mas a repetição. As mesmas informações sobre sua política de senha, seu procedimento de backup e seu tratamento de incidentes são solicitadas em dez formatos diferentes, com dez portais diferentes. Supplia foi construída para reduzir esse trabalho repetitivo: você responde esses tópicos uma vez em seu próprio dossiê de cadeia, e o sistema reconhece perguntas semelhantes na lista de cada novo cliente. Você confirma pessoalmente cada resposta com sim ou não antes de ser enviada para o portal de seu cliente; Supplia não avalia nada e não faz login em nenhum lugar.
Como você consegue administrar isso
Ajuda não começar pelas dez áreas em si, mas pelo que você já tem: uma política de senha, um cronograma de backup, uma lista de quem tem acesso a quais sistemas. Muitos desses itens já existem, mas estão espalhados por pastas e mentes. Organizar isso geralmente é mais trabalho do que realmente implementar novas medidas. a explicação por tema na base de conhecimento passa pelas dez áreas uma por uma com o que envolve.
Se você deseja saber rapidamente quais dessas áreas já parecem estar em ordem em sua situação e quais exigem atenção, então a verificação de reconhecimento em poucas questões dá uma primeira indicação. Para quem quer saber de onde vêm as informações na Supplia e como são mantidas, explica a página sobre a nossa metodologia isso.
Se a NIS2 se aplica ao seu caso específico e quais medidas se adequam precisamente a ele é algo que seria melhor apresentar a um jurista ou à autoridade competente de supervisão. Este artigo descreve a diretiva em termos gerais e não substitui esse parecer.
Reconhece as questões que o seu cliente envia, mas quer primeiro ver como o preenchimento funciona na prática? Leia as perguntas frequentes sobre preenchimento e submissão ou inicie a verificação rápida gratuita para ver quais tópicos se aplicam à sua empresa.