Software · NIS2
Um software NIS2 deve comprovar que a sua entidade cumpre as obrigações da lei alemã do BSI (BSIG): as dez medidas de gestão de riscos do § 30 da BSIG, as obrigações de notificação do § 32, o registro do § 33 e a responsabilidade da diretoria do § 38. Esta página mostra o que um software precisa oferecer para isso, o que você deve observar na escolha e como o Sightadel faz isso.
Ponto de partida
Na Alemanha, a NIS2 se aplica por meio da lei do BSI a entidades importantes e essenciais. Não existe certificado NIS2. O que se exige é uma situação de evidências sólida perante o Serviço Federal Alemão de Segurança da Informação (BSI), clientes e auditores. As dez áreas de medidas do § 30, nº 2, da BSIG vão da análise de riscos e do tratamento de incidentes, passando por backup e planejamento de emergência, cadeia de suprimentos, vulnerabilidades, treinamento e criptografia, até controle de acesso e autenticação multifator.
Em relação a um SGSI clássico, há sobretudo três novidades. Incidentes de segurança significativos devem ser notificados ao BSI em etapas: alerta precoce em até 24 horas, notificação em até 72 horas e relatório final no máximo um mês após o envio da notificação; os dois primeiros prazos correm a partir do conhecimento. As entidades abrangidas precisam se registrar no BSI. E a diretoria implementa as medidas, monitora sua implementação e participa regularmente de treinamentos.
Por isso, um software NIS2 precisa fazer mais do que marcar medidas como concluídas. Os canais de notificação precisam estar definidos antes que algo aconteça. As deliberações da diretoria precisam estar arquivadas com data. Evidências como testes de restauração ou avaliações de fornecedores precisam se manter atualizadas. Quem decide continua sendo a diretoria: sobre aceitação de riscos, recursos e responsabilidades.
Por que agora
Setor, número de funcionários e faturamento indicam que você está sujeito à lei do BSI. Registro, medidas e obrigações da diretoria precisam agora ser tratados de forma organizada.
Segundo o § 38 da BSIG, a responsabilidade continua com a diretoria, mesmo que outros façam o trabalho. Ela quer ver o que está implementado, o que falta e até quando.
Mesmo quem não está sujeito diretamente é alcançado pelos requisitos por meio dos clientes. Eles precisam avaliar seus prestadores de serviços e solicitam comprovantes.
Você tem a ISO 27001 e quer reaproveitar as evidências. Somam-se a cadeia de notificação, o registro e a deliberação da diretoria, sem documentação em duplicidade.
Frameworks relevantes
Resumido com nossas próprias palavras, não constitui consultoria jurídica. Vale o texto original na versão em vigor.
Para entidades importantes e essenciais segundo a lei do BSI. No Sightadel, dividida em 40 controles para as dez medidas do § 30, além da cadeia de notificação, do registro e da deliberação da diretoria. Até uma situação de evidências sólida, costumam passar de três a nove meses.
Ver framework →Não é obrigatória para a NIS2, mas as medidas do § 30 da BSIG coincidem em grande parte com o Anexo A. Quem opera um SGSI fica mais perto do limite inferior do esforço.
Ver framework →Um incidente de segurança pode ser ao mesmo tempo uma violação de dados e acionar as duas obrigações de notificação. As medidas técnicas do art. 32 do GDPR (Regulamento Geral sobre a Proteção de Dados da UE) usam as mesmas evidências.
Ver framework →Para entidades financeiras, o DORA prevalece. Muitas medidas coincidem; os prazos de notificação diferem no ponto de partida: o DORA se baseia na classificação, a NIS2 no conhecimento.
Ver framework →Ordem recomendada
Registrar a classificação como entidade importante ou essencial com justificativa, fazer o registro no BSI e arquivá-lo como evidência.
Definir responsáveis, substitutos e formas de contato e arquivar modelos de notificação. Isso vem antes de tudo, porque um incidente não espera.
Percorrer de forma guiada os 40 controles e associar os documentos existentes. No fim, fica claro o que está comprovado e o que falta.
Planos de ação com responsáveis e prazos. Os itens mais pesados costumam ser os testes de restauração, a avaliação de fornecedores e a cobertura da autenticação multifator.
A diretoria recebe treinamento, delibera com data sobre a implementação das medidas e define como monitora a implementação.
Verificação interna, análise crítica pela direção e um exercício do processo de incidentes. Depois, essas etapas se repetem em ciclo.
Escolha
Muitas ferramentas oferecem uma checklist com as dez medidas. Verifique se o software também cobre as partes que distinguem a NIS2 de um SGSI clássico.
Os requisitos devem remeter aos §§ 30, 32, 33 e 38 da BSIG, e não apenas à diretiva da UE. A verificação é feita segundo o direito alemão.
Responsáveis, substitutos e modelos devem estar cadastrados com antecedência. Observe se os três prazos são calculados a partir do momento do conhecimento.
O software deve arquivar com data a deliberação da diretoria e os comprovantes de treinamento da diretoria. Sem esse comprovante, falta justamente a parte pela qual a diretoria responde pessoalmente.
Prestadores de serviços críticos, questionários, requisitos contratuais e certificados com data de vencimento pertencem a uma lista com lembrete da próxima avaliação.
Quem tem um SGSI não deveria precisar copiar evidências. Um comprovante deve valer ao mesmo tempo para o Anexo A e para o § 30 da BSIG.
Não existe certificado NIS2. Tenha cautela com fornecedores que acenam com um. O objetivo é uma situação de evidências sólida.
Como o Sightadel ajuda
As dez medidas do § 30 da BSIG em 40 controles, cada um como pergunta com explicação. Além disso, controles sobre cadeia de notificação, registro e responsabilidade da diretoria.
Saiba mais →Protocolos de teste, listas de treinamento e políticas com versão e data de validade. O Sightadel avisa antes do vencimento. Uma evidência vale ao mesmo tempo para NIS2, ISO 27001 e GDPR.
Saiba mais →Prestadores de serviços com criticidade, questionários e evidências com data de validade. Certificados vencidos chamam a atenção, e as reavaliações chegam como lembrete.
Saiba mais →As lacunas viram medidas com responsável e prazo. Com a função Viewer, a diretoria vê o que está em aberto e em atraso e pode assim cumprir seu dever de monitoramento.
Saiba mais →O Security Score avalia a superfície de ataque visível externamente dos seus domínios com uma nota de 0 a 100 e lista problemas concretos. Isso apoia o tratamento de vulnerabilidades segundo o § 30, nº 2, item 5.
Saiba mais →Modelos setoriais fornecem rascunhos, por exemplo da política, do conceito de criptografia e dos modelos de notificação. A IA faz sugestões a partir dos dados que você já registrou. Quais procedimentos são admissíveis e qual risco residual é aceitável, você define.
Saiba mais →Esforço e duração
Os intervalos refletem a experiência e não constituem um compromisso. O que mais pesa é o número de locais e de prestadores de serviços, o ponto de partida e o tempo que a diretoria dedica.
O que você licencia · normalmente Professional
Uma entidade com vários envolvidos e uma série de prestadores de serviços críticos normalmente escolhe a NIS2 na edição Professional, muitas vezes junto com a ISO 27001. Se a ISO 27001 estiver incluída, a NIS2 custa permanentemente menos. Com muitos fornecedores ou empresas do grupo, a Enterprise é a mais adequada.
Licença por framework, prazo mínimo de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria são cobrados à parte.
Perguntas e respostas
Mais em nossas perguntas frequentes ou diretamente pelo nosso formulário de contato.
A lei não prescreve software. Ela exige medidas implementadas e comprováveis, canais de notificação que funcionem e uma diretoria que monitore a implementação. Um software compensa assim que várias pessoas estão envolvidas, as evidências precisam ser renovadas regularmente e a diretoria precisa de uma visão atualizada.
O Excel pode listar as dez medidas. Prazos das evidências, lembretes de avaliações de fornecedores e vínculos com comprovantes você precisa então manter manualmente. Planilhas existentes podem ser importadas no Sightadel.
O Sightadel é licenciado por framework e edição, anualmente. Os valores atuais estão na página de preços. Se a ISO 27001 já estiver licenciada, a NIS2 custa permanentemente menos. Você pode testar grátis por 14 dias, sem dados de pagamento.
Não. A NIS2 não prevê certificado. O objetivo é uma situação de evidências sólida perante o BSI, clientes e auditores. Um certificado ISO 27001 pode ajudar, mas não substitui a cadeia de notificação, o registro e a deliberação da diretoria. Saiba mais na página sobre a NIS2.
Não. O Sightadel guia você pelos requisitos e registra a situação. Os consultores você escolhe na rede de parceiros no aplicativo ou traz o seu. As verificações são feitas por auditores independentes, também da rede de parceiros ou os seus próprios. Nenhuma intermediação gera comissão.
Ela implementa as medidas, monitora a implementação e participa regularmente de treinamentos. A responsabilidade continua com ela, mesmo que outros façam o trabalho. Aceitação de riscos, recursos e responsabilidades são decididos por ela. O Sightadel arquiva a deliberação e os comprovantes de treinamento com data.
Não. A notificação é feita por você. O Sightadel mantém à disposição canais de notificação, responsáveis, substitutos e modelos e calcula os três prazos a partir do momento do conhecimento.
O Sightadel é desenvolvido na Alemanha e operado na Alemanha.
14 dias, acesso completo, sem dados de pagamento. Tudo o que você configurar continua valendo no plano pago.
