NIS2 (Diretiva UE 2022/2555) Diretiva europeia

30 controles, organizados por grupo, com resumo em português.

Diretiva europeia de segurança de rede e informação, aplicável a "entidades essenciais" e "importantes" em 18 setores (energia, transporte, banca, saúde, água, infraestrutura digital, administração pública e outros). Diferente do GDPR/DORA (Regulamentos, diretamente aplicáveis), NIS2 é Diretiva: exige transposição em lei nacional por cada Estado-membro (prazo de transposição 17/10/2024, já vencido). Organizado nas 10 medidas mínimas de gestão de risco do Art. 21(2), mais governança (Art. 20) e reporte de incidente com prazos definidos (Art. 23: alerta em 24h, notificação em 72h, relatório final em 1 mês).

Fonte oficial · A cor indica o perfil em que cada controle entra: Básico Intermediário Avançado.

É diretiva da União Europeia (texto de acesso público via EUR-Lex). As 10 alíneas do Art. 21(2) são citação factual da própria Diretiva (texto legal, domínio público). Descrições em português são elaboração própria da InfoCuestaSec pra fins didáticos, seguindo o texto da Diretiva em si, não uma lei nacional específica de transposição. Divisão em perfis é didática.

GOV Governança

GOV.1
Fazer o órgão de administração aprovar formalmente as medidas de gestão de risco de cibersegurança adotadas pela entidade (Art. 20). Medida de segurança sem aprovação formal do órgão de administração fica sem respaldo institucional pra receber orçamento e prioridade de verdade.
Básico
GOV.2
Fazer o órgão de administração supervisionar continuamente a implementação das medidas de cibersegurança, não só aprová-las uma vez (Art. 20). Aprovação única no início não garante que a medida continue adequada conforme o ambiente de ameaça e o negócio mudam ao longo do tempo.
Intermediário
GOV.3
Oferecer treinamento regular de cibersegurança aos membros do órgão de administração, capacitando-os a identificar e avaliar risco (Art. 20). Liderança sem entendimento técnico mínimo aprova ou rejeita investimento de segurança sem conseguir avaliar o risco de verdade.
Intermediário
GOV.4
Oferecer treinamento de cibersegurança de forma regular também ao corpo de colaboradores em geral, não só à liderança (Art. 20). Colaborador sem noção básica de cibersegurança é o alvo mais fácil de engenharia social, independente de quão bom seja o controle técnico.
Avançado

RISC Política de Risco e Segurança de Sistemas

RISC.1
Manter política de análise de risco e de segurança de sistemas de informação, atualizada e proporcional ao porte e criticidade da entidade (Art. 21.2.a). Sem política formal de análise de risco, a avaliação de segurança fica dependente da memória e do critério individual de quem está de plantão.
Básico
RISC.2
Realizar análise de risco de cibersegurança periodicamente, revisando quando houver mudança relevante (Art. 21.2.a). Análise de risco feita uma vez e nunca revisitada perde mudança relevante de infraestrutura, fornecedor ou ameaça ao longo do tempo.
Intermediário

INC Gestão de Incidentes

INC.1
Manter processo de gestão de incidentes com procedimentos para detectar, gerenciar, conter e responder a incidente de segurança (Art. 21.2.b). Processo de incidente informal produz resposta inconsistente a cada ocorrência, dependendo de quem está disponível naquele momento.
Básico
INC.2
Documentar e revisar cada incidente após a resolução para identificar causa raiz e melhoria de controle (Art. 21.2.b). Incidente que não vira aprendizado formal tende a se repetir, porque a causa raiz nunca chega a ser corrigida de verdade.
Intermediário

CONT Continuidade de Negócio e Gestão de Crise

CONT.1
Manter política de continuidade de negócio incluindo gestão de backup e recuperação de desastre (Art. 21.2.c). Continuidade de negócio sem o componente de backup/recuperação de sistema integrado deixa de fora a parte mais provável de falhar num incidente real.
Básico
CONT.2
Testar periodicamente os procedimentos de backup e recuperação, não só documentá-los (Art. 21.2.c). Backup nunca testado é uma suposição de que funciona, não uma garantia — só o teste de restauração revela isso de verdade.
Intermediário
CONT.3
Manter plano de gestão de crise com papéis, responsabilidades e critérios de acionamento definidos (Art. 21.2.c). Gestão de crise improvisada na hora do incidente tende a ser mais lenta e mais sujeita a erro do que uma com papéis já definidos antes.
Intermediário

CADE Segurança da Cadeia de Suprimentos

CADE.1
Avaliar a segurança e as práticas de cibersegurança de fornecedores e prestadores de serviço diretos, antes e durante a relação contratual (Art. 21.2.d, 21.3). Fornecedor com acesso ao seu ambiente ou dado é uma extensão da sua própria superfície de risco, mesmo fora do seu controle direto.
Básico
CADE.2
Considerar a qualidade geral de produtos e as práticas de desenvolvimento seguro do fornecedor na decisão de contratação (Art. 21.3). Fornecedor sem prática de desenvolvimento seguro pode introduzir vulnerabilidade no seu ambiente sem que você tenha feito nada de errado.
Intermediário
CADE.3
Participar de avaliação coordenada de risco de segurança de cadeias de suprimento críticas quando promovida pelas autoridades competentes (Art. 21.3). Risco de cadeia de suprimento crítica muitas vezes só aparece quando avaliado em conjunto entre várias entidades e a autoridade, não isoladamente.
Avançado

DESENV Segurança em Aquisição, Desenvolvimento e Manutenção

DESENV.1
Aplicar prática de segurança na aquisição, desenvolvimento e manutenção de sistemas de rede e informação (Art. 21.2.e). Sistema desenvolvido ou adquirido sem prática de segurança carrega vulnerabilidade desde o nascimento, mais cara de corrigir depois.
Intermediário
DESENV.2
Manter processo de gestão e divulgação responsável de vulnerabilidade (vulnerability handling and disclosure) (Art. 21.2.e). Sem processo de divulgação responsável, uma vulnerabilidade encontrada (por pesquisador ou por você mesmo) não tem caminho claro pra ser corrigida antes de ser explorada.
Intermediário

AVAL Avaliação da Eficácia dos Controles

AVAL.1
Manter política e procedimento para avaliar periodicamente a eficácia das próprias medidas de gestão de risco de cibersegurança (Art. 21.2.f). Controle implementado uma vez e nunca reavaliado tende a degradar silenciosamente com o tempo, sem que ninguém perceba.
Intermediário
AVAL.2
Corrigir sem atraso indevido qualquer inadequação identificada nas medidas de cibersegurança, com evidência de acompanhamento (Art. 21.4). Inadequação identificada e não corrigida vira risco aceito por omissão, não por decisão consciente.
Avançado

HIG Higiene Cibernética Básica e Treinamento

HIG.1
Aplicar práticas básicas de higiene cibernética (atualização de sistema, gestão de senha, backup, menor privilégio) em toda a organização (Art. 21.2.g). A maioria dos incidentes reais explora falha básica (senha fraca, sistema desatualizado, acesso excessivo) — higiene cibernética previne isso pela raiz.
Básico
HIG.2
Oferecer treinamento de conscientização em cibersegurança a todo colaborador com acesso a sistema de informação (Art. 21.2.g). Colaborador sem treinamento é o elo mais comum explorado em incidente real (phishing, engenharia social).
Básico

CRIPTO Política de Criptografia

CRIPTO.1
Manter política e procedimento sobre o uso de criptografia, incluindo, quando apropriado, criptografia de dado em repouso e em trânsito (Art. 21.2.h). Sem política de criptografia, cada equipe decide por conta própria o que criptografar e como, gerando inconsistência e lacuna.
Intermediário

RH Segurança de RH, Acesso e Gestão de Ativos

RH.1
Aplicar controle de segurança de recursos humanos, incluindo verificação na contratação e revogação de acesso no desligamento (Art. 21.2.i). Acesso de ex-funcionário que continua ativo é uma das causas mais comuns e mais evitáveis de incidente de segurança.
Básico
RH.2
Manter política de controle de acesso baseada em papel e no princípio do menor privilégio (Art. 21.2.i). Acesso além do necessário aumenta o dano possível de uma credencial comprometida, mesmo sem nenhuma falha adicional.
Básico
RH.3
Manter inventário atualizado de ativos de informação e de sistema, com responsável definido por ativo (Art. 21.2.i). Sem inventário atualizado, a organização não sabe, na prática, o que precisa proteger nem quem é responsável por proteger.
Intermediário

AUTH Autenticação e Comunicação Segura

AUTH.1
Implementar autenticação multifator ou solução de autenticação contínua para acesso a sistema crítico, quando apropriado (Art. 21.2.j). Senha sozinha é insuficiente contra credencial vazada ou phishing — MFA reduz drasticamente esse risco específico.
Intermediário
AUTH.2
Usar comunicação de voz, vídeo e texto segura, incluindo sistema de comunicação de emergência seguro dentro da entidade, quando apropriado (Art. 21.2.j). Comunicação de emergência insegura pode ser interceptada ou interrompida exatamente no momento em que mais precisa funcionar, durante um incidente real.
Avançado

REP Reporte de Incidentes

REP.1
Emitir alerta prévio (early warning) à autoridade competente/CSIRT em até 24 horas após tomar conhecimento de um incidente significativo (Art. 23). Alerta prévio rápido dá tempo pra autoridade e outras entidades reagirem antes que o incidente se espalhe ou se agrave.
Básico
REP.2
Enviar notificação de incidente com avaliação de gravidade e indicadores de comprometimento em até 72 horas após tomar conhecimento (Art. 23). Notificação fora do prazo de 72h é, por si só, uma não conformidade adicional além do próprio incidente.
Básico
REP.3
Fornecer relatório intermediário quando solicitado pela autoridade competente/CSIRT, enquanto o incidente estiver em andamento (Art. 23). Sem atualização periódica durante um incidente longo, a autoridade perde visibilidade sobre se a resposta está progredindo ou travada.
Intermediário
REP.4
Enviar relatório final em até 1 mês após a notificação, com descrição detalhada, tipo de ameaça, medida de mitigação e impacto transfronteiriço (Art. 23). Relatório final é o que permite à autoridade (e à própria entidade) entender causa raiz e prevenir recorrência, não só reagir ao efeito imediato.
Intermediário