NIS2: o que exige e como provar que cumpre
Resposta curta
A NIS2 é uma diretiva da UE, aplicável desde 18 de outubro de 2024 através da legislação nacional, para entidades essenciais e importantes de 18 setores. Exige medidas de gestão de risco (Artigo 21) e a notificação de incidentes significativos no prazo de 24 horas, 72 horas e um mês (Artigo 23). A ROOTKey mapeia estes requisitos sobre a sua infraestrutura existente, com provas criptográficas verificáveis.
- Coima máxima
- €10Mou 2% da faturação global anual
- Prazo de alerta
- 24hapós deteção de incidente significativo
- Setores abrangidos
- 18entidades essenciais e importantes
- Aplicável desde
- 18 out 2024através da legislação nacional de cada Estado-Membro
Quem está abrangido e o que está em jogo
A NIS2 aplica-se a entidades essenciais e importantes de 18 setores e é aplicável desde 18 de outubro de 2024 através da legislação nacional de cada Estado-Membro. A coima máxima depende da categoria, de entre as duas, em que a entidade se enquadra.
| Entidade | Coima máxima |
|---|---|
| Entidades essenciais | Até 10 milhões de euros ou 2% do volume de negócios anual global, consoante o valor mais elevado |
| Entidades importantes | Até 7 milhões de euros ou 1,4% do volume de negócios anual a nível mundial, consoante o valor mais elevado |
Não sabe em que ponto está? O Simulador NIS2 avalia a sua lacuna de conformidade.
Texto oficial: Diretiva (UE) 2022/2555 no EUR-Lex.
A NIS2 em cinco minutos
Uma explicação em linguagem simples da diretiva: quem abrange, o que exige, as coimas e onde entra a integridade dos dados.
A NIS2, o DORA e o RGPD são explicados no mesmo formato na playlist Compliance do nosso canal de YouTube.
Artigo 21: medidas de gestão de risco
O Artigo 21 exige medidas documentadas de análise de risco, gestão de incidentes, continuidade de negócio, segurança da supply chain e controlo de acesso. Veja como cada requisito se mapeia na ROOTKey.
| Artigo | Requisito | ROOTKey | Estado |
|---|---|---|---|
| 21 · 2(a)Políticas de análise de risco | As entidades devem implementar políticas de análise de risco dos sistemas de informação e segurança, documentadas e versionadas. | Registo imutável de políticas com hash criptográfico verificável e histórico ancorado - adulteração retroativa criptograficamente detetável. | Coberto |
| 21 · 2(b)Gestão de incidentes | Procedimentos documentados para deteção, análise, contenção e resposta a incidentes de segurança com cadeia de custódia. | Carimbos temporais criptograficamente assinados para cada evento. Cadeia de custódia verificável, exportável para reguladores em segundos. O relatório indica o que mudou, quem, quando e onde. | Coberto |
| 21 · 2(c)Continuidade de negócio | Planos de backup, recuperação de desastres e gestão de crises que assegurem continuidade operacional verificável. | Recovery Points com verificação criptográfica de integridade - verificação de que os backups não foram comprometidos antes de serem necessários. | Coberto |
| 21 · 2(e)Segurança da supply chain | Segurança nas relações com fornecedores e prestadores, incluindo acesso a dados e sistemas críticos de informação. | Verificação criptográfica de acesso por design: cada acesso é autenticado com prova criptográfica, sem confiança implícita em nenhuma entidade. | Coberto |
| 21 · 2(j)Autenticação & controlo de acesso | Autenticação multifator e soluções de comunicação segura como mecanismos de proteção de acesso a sistemas críticos. | MFA com verificação criptográfica - autenticação forte sem expor credenciais, integrado via API sobre sistemas existentes. | Parcial |
Artigo 23: prazos de notificação de incidentes
O Artigo 23 da NIS2 exige a notificação à autoridade nacional no prazo de 24 horas após um incidente significativo, um relatório detalhado em 72 horas e um relatório final no prazo de um mês. A ROOTKey gera automaticamente o trilho de evidências criptográficas necessário para as três fases.
| Prazo | Fase | Detalhe |
|---|---|---|
| T0 | Deteção | Logs com carimbos temporais imutáveis - evidência verificável de quando o incidente foi detetado. |
| 24h | Alerta | Notificação ao CSIRT em 24h (alerta) após deteção de incidente com impacto significativo. |
| 72h | Relatório intercalar | Um relatório detalhado em 72 horas. Exportação estruturada, pronta em minutos. |
| 1 mês | Relatório final | Um relatório final no prazo de um mês - com o trilho de evidências criptográficas completo. |
Onde entra a ROOTKey: sobre a sua infraestrutura, não em vez dela
A ROOTKey não substitui sistemas existentes. Adiciona uma camada de verificação criptográfica via API - sem migrações, sem vendor lock-in.
- Evidência criptográfica auditável
- Cada ação crítica gera uma prova independente, verificável por auditores externos sem aceder aos dados originais.
- Recovery points verificáveis
- Backups com integridade verificada criptograficamente: data, conteúdo e integridade, tudo verificável.
- Carimbos temporais imutáveis
- Cadeia de custódia de cada evento de segurança, com evidência verificável de quando aconteceu.
Qualquer ficheiro, a mesma prova
PDF, imagens, Word, Excel, PowerPoint, tabelas e bases de dados: seja qual for o ficheiro, a ROOTKey compara-o com o original selado e mostra apenas o que foi alterado.
- Implementação
- SaaS · Cloud privada · On-premise
- Conectores
- SharePoint · OneDrive · Amazon S3 · Cloudflare R2 · tabelas e bases de dados · REST API e webhooks
Integração: operacional em dias, não em meses
API REST documentada e webhooks, suporte enterprise dedicado. A ROOTKey adapta-se à sua infraestrutura - não o contrário.
Integração via API
REST API documentada e webhooks. Operacional em dias, sem substituir a infraestrutura existente.
Provas automáticas
Cada evento crítico gera uma prova criptográfica imutável e auditável, com esforço operacional mínimo.
Reporte instantâneo
Painel de conformidade em tempo real e exportação de evidências para reguladores em segundos.
Perguntas frequentes
O que exige a NIS2 em matéria de notificação de incidentes?
O Artigo 23 da NIS2 exige a notificação à autoridade nacional no prazo de 24 horas após um incidente significativo, um relatório detalhado em 72 horas e um relatório final no prazo de um mês. A ROOTKey gera automaticamente o trilho de evidências criptográficas necessário para as três fases.
O que conta como incidente significativo ao abrigo da NIS2?
Incidentes significativos incluem os que causam perturbação operacional grave, perdas financeiras ou impacto noutras entidades - abrangendo ataques de ransomware, violações de integridade de dados e compromissos da cadeia de fornecimento.
Como é que a ROOTKey apoia o Artigo 21 da NIS2?
O Artigo 21 da NIS2 exige políticas criptográficas, controlo de acesso e gestão de incidentes. A verificação contínua de integridade da ROOTKey apoia os requisitos de evidência criptográfica e fornece um trilho de auditoria imutável para a documentação de incidentes.
Qual é a coima por incumprimento da NIS2?
As entidades essenciais enfrentam coimas até 10 milhões de euros ou 2% do volume de negócios anual global, consoante o valor mais elevado. As entidades importantes enfrentam até 7 milhões de euros ou 1,4% do volume de negócios anual a nível mundial, consoante o valor mais elevado.