O que aconteceu? - Novo guia sobre a directiva NIS-2
A Deutsche Rechenzentren GmbH (DeRZ) publicou um guia abrangente sobre a directiva NIS-2. O whitepaper dirige-se especificamente a operadores de centros de dados, responsáveis de TI e prestadores de serviços geridos. O guia pretende dar orientação num contexto regulamentar que, na avaliação dos editores, continua a ser subestimado por muitas empresas.
A abordagem prática do documento centra-se especialmente na infra-estrutura de TI e trata das exigências de cibersegurança agravadas que acompanham a directiva europeia NIS-2.
Os detalhes - exigências agravadas pela NIS-2
Com a directiva NIS-2, a União Europeia agravou profundamente as exigências de cibersegurança para as infra-estruturas críticas. Na Alemanha, a directiva foi transposta de forma vinculativa através da nova lei do BSI, no final do ano passado. Os efeitos são mais amplos do que inicialmente se supunha.
Âmbito alargado
Há muito que já não estão abrangidos apenas os operadores KRITIS clássicos. Também os fornecedores de colocation, as empresas de alojamento e os prestadores de serviços informáticos a partir de 50 colaboradores ou 10 milhões de euros de volume de negócios anual entram no âmbito de aplicação – muitas vezes sem o saberem. Estes limiares deixam claro que a cibersegurança se torna um „dever generalizado" e abrange muito mais empresas do que até agora.
Segurança física em foco
Um aspecto central do guia da DeRZ é a segurança física dos centros de dados – uma área durante muito tempo subestimada na conformidade informática. A NIS-2 esclarece que o controlo de acessos, o abastecimento de energia e a protecção contra incêndios têm de ser componentes de igual valor de uma gestão de risco documentada.
Sanções rigorosas e deveres de comunicação
O novo enquadramento jurídico traz consigo deveres rigorosos de comunicação de incidentes de segurança. Particularmente delicado: está expressamente prevista a responsabilidade pessoal da direcção. As coimas podem ascender a 10 milhões de euros ou 2 por cento do volume de negócios anual mundial.
Enquadramento - porque esta evolução é relevante
A publicação do guia mostra que o sector reconheceu a necessidade de agir. A NIS-2 marca uma mudança de paradigma na cibersegurança: o que antes afectava apenas grandes grupos e infra-estruturas críticas torna-se agora obrigação para um círculo bastante mais amplo de empresas.
Para o sector da tecnologia de segurança surgem daí novas áreas de negócio. As empresas que até agora investiram pouco em medidas de segurança física têm de repensar profundamente a sua infra-estrutura. Isto abrange em especial:
- Sistemas modernos de controlo de acessos para centros de dados
- Conceitos de segurança documentados e gestão de risco
- Integração de medidas de segurança física e informática
- Procedimentos de monitorização e comunicação conformes
Conselhos práticos para as empresas abrangidas
Segundo o anúncio, o guia da DeRZ explica que exigências se aplicam, como avaliar o próprio estatuto de abrangência e que passos fazem agora sentido. Às empresas eventualmente abrangidas recomenda-se uma abordagem sistemática:
Fazer a verificação de estatuto
Em primeiro lugar, as empresas devem verificar se estão abrangidas pelas novas regras. Os limiares de 50 colaboradores ou 10 milhões de euros de volume de negócios anual abrangem muito mais empresas do que as anteriores regras KRITIS.
Visão global da segurança
A NIS-2 exige uma abordagem global que trate em pé de igualdade a segurança informática e a segurança física. Isso significa que medidas de segurança tradicionais, como o controlo de acessos e a videovigilância, passam a fazer parte do conceito documentado de cibersegurança.
Documentação e processos
Uma gestão de risco documentada torna-se obrigatória. As empresas têm de conseguir demonstrar que implementaram medidas técnicas e organizacionais adequadas.
Perspectivas - o que decorre do novo enquadramento jurídico
A publicação do guia da DeRZ é um indicador de que a aplicação da NIS-2 chegou à prática. Com a entrada em vigor da nova lei do BSI no final do ano passado, começa para muitas empresas uma nova era da cibersegurança.
Para o sector da tecnologia de segurança isto significa novas oportunidades, mas também a necessidade de se preparar para exigências mais complexas. A integração da segurança informática e da segurança física torna-se norma, ganhando também importância soluções de segurança clássicas, como sistemas de controlo de acessos e tecnologia de vigilância.
As empresas que agirem agora e adaptarem em conformidade a sua infra-estrutura de segurança não ficam apenas em conformidade, mas também mais bem protegidas contra as crescentes ciberameaças. O guia da DeRZ é, neste contexto, um apoio valioso para aplicar na prática as exigências complexas da directiva NIS-2.
