Software · NIS2
Um software NIS2 deve comprovar que a sua entidade cumpre as obrigações da lei alemã do BSI (BSIG): as dez medidas de gestão do risco do § 30 da BSIG, as obrigações de notificação do § 32, o registo do § 33 e a responsabilidade da administração do § 38. Esta página mostra o que um software deve fazer para isso, a que deve prestar atenção na escolha e como o Sightadel o concretiza.
Ponto de partida
Na Alemanha, a NIS2 aplica-se através da lei do BSI a entidades importantes e entidades essenciais. Não existe um certificado NIS2. O que se pede é um conjunto de evidências sólido perante o Serviço Federal Alemão de Segurança da Informação (BSI), os clientes e os auditores. As dez áreas de medidas do § 30, n.º 2, da BSIG vão da análise de risco e do tratamento de incidentes, passando pelas cópias de segurança e pelo planeamento de emergência, pela cadeia de abastecimento, pelas vulnerabilidades, pela formação e pela criptografia, até ao controlo de acessos e à autenticação multifator.
Em comparação com um SGSI clássico, há sobretudo três novidades. Os incidentes de segurança significativos têm de ser notificados ao BSI por fases: alerta precoce no prazo de 24 horas, notificação no prazo de 72 horas, relatório final o mais tardar um mês após o envio da notificação; os dois primeiros prazos contam a partir do conhecimento do incidente. As entidades abrangidas têm de se registar junto do BSI. E a administração implementa as medidas, supervisiona a sua implementação e participa regularmente em formações.
Por isso, um software NIS2 tem de fazer mais do que assinalar medidas como cumpridas. As vias de notificação têm de estar definidas antes de algo acontecer. As deliberações da administração têm de estar arquivadas com data. As evidências, como testes de recuperação ou avaliações de fornecedores, têm de se manter atualizadas. A decisão continua a caber à administração: sobre a aceitação do risco, os recursos e as responsabilidades.
Porquê agora
O setor, o número de trabalhadores e o volume de negócios indicam que está abrangido pela lei alemã do BSI. O registo, as medidas e os deveres da administração têm agora de ser tratados de forma ordenada.
Segundo o § 38 da BSIG, a responsabilidade continua na administração, mesmo que outros façam o trabalho. Quer ver o que está implementado, o que falta e até quando.
Mesmo quem não está abrangido é alcançado pelos requisitos através dos clientes. Estes têm de avaliar os seus prestadores de serviços e pedem comprovativos.
Tem a ISO 27001 e quer reutilizar as evidências. Juntam-se a cadeia de notificação, o registo e a deliberação da administração, sem documentação duplicada.
Frameworks relevantes
Resumido por palavras nossas, não constitui aconselhamento jurídico. Prevalece o texto original na versão em vigor.
Para entidades importantes e entidades essenciais nos termos da lei alemã do BSI. No Sightadel, decomposta em 40 pontos de controlo sobre as dez medidas do § 30, além da cadeia de notificação, do registo e da deliberação da administração. Até um conjunto de evidências sólido passam tipicamente três a nove meses.
Ver framework →Não é obrigatória para a NIS2, mas as medidas do § 30 da BSIG coincidem em grande parte com o Anexo A. Quem opera um SGSI fica, em termos de esforço, mais perto do limite inferior.
Ver framework →Um incidente de segurança pode ser ao mesmo tempo uma violação de dados pessoais e desencadear ambas as obrigações de notificação. As medidas técnicas do art. 32.º do RGPD utilizam as mesmas evidências.
Ver framework →Para as entidades financeiras, o DORA prevalece. Muitas medidas coincidem; os prazos de notificação diferem no ponto de partida: o DORA parte da classificação, a NIS2 do conhecimento do incidente.
Ver framework →Ordem recomendada
Registar a classificação como entidade importante ou essencial com fundamentação, efetuar o registo junto do BSI e arquivá-lo como evidência.
Definir responsáveis, substitutos e contactos, arquivar modelos de notificação. Isto vem antes de tudo o resto, porque um incidente não espera.
Percorrer de forma guiada os 40 pontos de controlo, associar os documentos existentes. No fim, fica claro o que está comprovado e o que falta.
Planos de ação com responsáveis e prazos. Os blocos típicos são os testes de recuperação, a avaliação de fornecedores e a cobertura da autenticação multifator.
A administração recebe formação, delibera com data a implementação das medidas e define como supervisiona essa implementação.
Verificação interna, revisão pela gestão e um exercício do processo de incidentes. Depois, estes passos repetem-se como ciclo.
Escolha
Muitas ferramentas oferecem uma lista de verificação com as dez medidas. Verifique se o software cobre também as partes que distinguem a NIS2 de um SGSI clássico.
Os requisitos devem remeter para os §§ 30, 32, 33 e 38 da BSIG, e não apenas para a diretiva da UE. A verificação é feita segundo o direito alemão.
Os responsáveis, os substitutos e os modelos devem estar registados previamente. Verifique se os três prazos são calculados a partir do momento do conhecimento do incidente.
O software deve arquivar com data a deliberação da administração e as evidências de formação da administração. Sem este comprovativo, falta a parte pela qual a administração responde pessoalmente.
Os prestadores de serviços críticos, os questionários, os requisitos contratuais e os certificados com data de expiração pertencem a uma lista com lembrete da próxima avaliação.
Quem tem um SGSI não deveria ter de copiar evidências. Um comprovativo deve contar ao mesmo tempo para o Anexo A e para o § 30 da BSIG.
Não existe um certificado NIS2. Tenha cuidado com fornecedores que prometam um. O objetivo é um conjunto de evidências sólido.
Como o Sightadel ajuda
As dez medidas do § 30 da BSIG em 40 pontos de controlo, cada um como pergunta com explicação. Além disso, pontos de controlo sobre a cadeia de notificação, o registo e a responsabilidade da administração.
Saber mais →Relatórios de testes, listas de formação e políticas com versão e data de validade. O Sightadel lembra antes da expiração. Uma evidência conta ao mesmo tempo para a NIS2, a ISO 27001 e o RGPD.
Saber mais →Prestadores de serviços com criticidade, questionários e evidências com data de validade. Os certificados expirados destacam-se, as reavaliações chegam como lembrete.
Saber mais →As lacunas tornam-se medidas com responsável e prazo. Com a função Viewer, a administração vê o que está em aberto e em atraso e pode assim cumprir o seu dever de supervisão.
Saber mais →O Security Score avalia a superfície de ataque visível do exterior dos seus domínios com uma nota de 0 a 100 e lista problemas concretos. Isto apoia o tratamento de vulnerabilidades segundo o § 30, n.º 2, ponto 5.
Saber mais →Os modelos setoriais fornecem rascunhos, por exemplo para a política, o conceito de criptografia e os modelos de notificação. A IA faz sugestões a partir dos dados que já registou. Que procedimentos são admissíveis e que risco residual é aceitável é definido por si.
Saber mais →Esforço e duração
Os intervalos refletem a experiência e não constituem um compromisso. O que mais pesa é o número de locais e de prestadores de serviços, o ponto de partida e o tempo que a administração dedica.
O que licencia · tipicamente Professional
Uma entidade com vários participantes e uma série de prestadores de serviços críticos escolhe tipicamente a NIS2 na edição Professional, muitas vezes em conjunto com a ISO 27001. Se a ISO 27001 estiver incluída, a NIS2 custa permanentemente menos. Com muitos fornecedores ou sociedades, a edição Enterprise é a adequada.
Licença por framework, duração mínima de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria acrescem à parte.
Perguntas e respostas
Mais nas nossas perguntas frequentes ou diretamente através do nosso formulário de contacto.
A lei não prescreve nenhum software. Exige medidas implementadas e comprováveis, vias de notificação que funcionem e uma administração que supervisione a implementação. Um software compensa assim que várias pessoas estão envolvidas, as evidências têm de ser renovadas regularmente e a administração precisa de um ponto de situação atualizado.
O Excel consegue listar as dez medidas. Os prazos das evidências, os lembretes das avaliações de fornecedores e as ligações aos comprovativos têm então de ser mantidos manualmente. As folhas de cálculo existentes podem ser importadas para o Sightadel.
O Sightadel é licenciado por framework e edição, anualmente. Os valores atuais estão na página de preços. Se a ISO 27001 já estiver licenciada, a NIS2 custa permanentemente menos. Pode experimentar grátis durante 14 dias, sem dados de pagamento.
Não. A NIS2 não prevê qualquer certificado. O objetivo é um conjunto de evidências sólido perante o BSI, os clientes e os auditores. Um certificado ISO 27001 pode ajudar, mas não substitui a cadeia de notificação, o registo nem a deliberação da administração. Mais informações na página sobre a NIS2.
Não. O Sightadel guia através dos requisitos e regista o ponto de situação. O consultor é escolhido na rede de parceiros na aplicação, ou traz o seu. As verificações são feitas por auditores independentes, também da rede de parceiros ou os seus. Nenhuma intermediação gera qualquer comissão.
Implementa as medidas, supervisiona a implementação e participa regularmente em formações. A responsabilidade continua a ser sua, mesmo que outros façam o trabalho. A aceitação do risco, os recursos e as responsabilidades são decididos por ela. O Sightadel arquiva com data a deliberação e as evidências de formação.
Não. A notificação é feita por si. O Sightadel disponibiliza as vias de notificação, os responsáveis, os substitutos e os modelos e calcula os três prazos a partir do momento do conhecimento do incidente.
O Sightadel é desenvolvido e operado na Alemanha.
14 dias, acesso completo, sem dados de pagamento. Tudo o que configurar mantém-se no plano pago.
