Requisitos de resposta a incidentes comparados entre frameworks

A resposta a incidentes faz parte do núcleo comum: todo framework que mapeamos a exige. O requisito central é o mesmo em todos: um plano, pessoas que conhecem seus papéis e uma forma de detectar, conter, recuperar e aprender. As diferenças estão nos testes e, sobretudo, em para quem você deve comunicar, e com que rapidez.

Quem exige o quê

Framework	Resposta a Incidentes	Vínculo
NIST CSF 2.0	RS.MA-01RS.MA-02RS.MA-03RS.MA-04ID.IM-04	Definição do tópico
ISO 27001	A.5.24A.5.25A.5.26	Correspondência
CIS v8.1	CIS 17.1CIS 17.4CIS 17.5CIS 17.7CIS 17.9	Correspondência
SOC 2	CC7.4CC7.3	Editorial
PCI DSS	12.10.112.10.312.10.212.10.4	Correspondência
CMMC	IR.L2-3.6.1IR.L2-3.6.3	Correspondência
800-53	IR-4IR-8IR-2IR-3	Correspondência
HIPAA	§164.308(a)(6)§164.308(a)(6)(ii)	Correspondência
GDPR	Art.33(1)Art.33(5)	Editorial
NIS2	3.13.5	Correspondência
Essential Eight	ISM-1819	Editorial

Detalhe completo e o motivo de cada ligação: Resposta a Incidentes em todos os frameworks →

O plano

Todo framework espera uma capacidade documentada de resposta a incidentes: os controles de planejamento, avaliação e resposta à gestão de incidentes da ISO 27001 (A.5.24 a A.5.26), a avaliação e a resposta a incidentes do SOC 2 (CC7.3, CC7.4), o plano de resposta a incidentes do PCI DSS (12.10.1), o tratamento de incidentes do CMMC (IR.L2-3.6.1), os procedimentos de incidentes de segurança do HIPAA (§164.308(a)(6)) e a política de tratamento de incidentes e resposta da NIS2 (pontos 3.1 e 3.5). O conteúdo é consistente: papéis, níveis de severidade, escalonamento, contenção, erradicação, recuperação e lições aprendidas.

Testes

O PCI DSS é o único com frequência fixa: revisar e testar o plano pelo menos anualmente (12.10.2) e treinar as pessoas que o executam (12.10.4). O CMMC e o SP 800-53 exigem teste da capacidade (IR.L2-3.6.3, IR-3) em uma frequência que você define. O CIS pede exercícios de rotina (17.7). A ISO 27001 e o SOC 2 esperam evidências de que o plano funciona, sem definir um cronograma; um exercício de mesa anual é a resposta mais comum.

Prazos de notificação

É aqui que os frameworks realmente divergem:

Framework	Para quem você comunica	Prazo
NIS2	CSIRT ou autoridade competente	Alerta antecipado em até 24 horas; notificação em até 72 horas; relatório final em até um mês
GDPR	Autoridade de controle (violações de dados pessoais)	Em até 72 horas após tomar conhecimento (Artigo 33)
GDPR	Pessoas afetadas, quando o risco para elas é alto	Sem demora injustificada (Artigo 34)
CMMC / DFARS	Departamento de Defesa dos EUA	Em até 72 horas, conforme a cláusula DFARS 252.204-7012
HIPAA	Indivíduos afetados (Regra de Notificação de Violação)	Sem demora injustificada e no máximo em 60 dias
PCI DSS	Bandeiras de pagamento e adquirente	Conforme os procedimentos de cada bandeira (12.10.1)
ISO 27001, SOC 2	Sem prazo regulatório	Seu plano e seus contratos decidem

Um único incidente pode acionar vários prazos ao mesmo tempo. Um ataque de ransomware a um provedor de nuvem na UE que armazena dados pessoais e processa pagamentos com cartão pode iniciar os processos de NIS2, GDPR e das bandeiras de pagamento na mesma hora.

Principais conclusões

• Todo framework exige um plano de resposta a incidentes; o conteúdo é consistente.
• Os prazos de notificação variam muito, de 24 horas da NIS2 a 60 dias do HIPAA.
• Um incidente pode iniciar vários prazos; um único coordenador deve responder por todos.

O que fazer

1. Escreva um único plano que atenda aos requisitos de conteúdo mais rigorosos e liste todas as obrigações de notificação aplicáveis a você, com seu prazo, destinatário e responsável.
2. Defina quem avalia a relevância. O prazo de 24 horas da NIS2 começa quando você toma conhecimento de um incidente significativo; a decisão não pode esperar até segunda-feira.
3. Teste o plano pelo menos anualmente (a regra do PCI é um bom padrão), incluindo um cenário fora do horário comercial.
4. Mantenha registros de todo incidente e violação, notificados ou não: o GDPR exige (Artigo 33(5)), e todo auditor vai pedir.

A página do tópico Resposta a Incidentes lista cada requisito com sua fonte; o Tópico Notificação trata da comunicação. Nosso guia da NIS2 detalha melhor o procedimento de notificação.

Perguntas

Quais são os prazos de notificação de incidentes na NIS2?

Um alerta antecipado em até 24 horas após tomar conhecimento de um incidente significativo, uma notificação de incidente em até 72 horas e um relatório final em até um mês.

Com que frequência um plano de resposta a incidentes deve ser testado?

O PCI DSS exige revisão e teste pelo menos anualmente (12.10.2). O CMMC e o SP 800-53 exigem teste da capacidade de resposta a incidentes (IR.L2-3.6.3, IR-3). A ISO 27001 e o SOC 2 esperam testes, mas deixam a frequência a seu critério.

A ISO 27001 define um prazo para notificação de incidentes?

Não. A ISO 27001 exige gestão de incidentes, incluindo o registro interno de eventos e a resposta, mas não há prazo regulatório de notificação. Os prazos vêm da lei (NIS2, GDPR), de contratos e de regras setoriais.