De ISO 27001 para NIS2: um plano prático para fechar lacunas

Para uma organização que já possui a ISO 27001, a NIS2 é, em grande parte, uma extensão. O mapeamento da ENISA relaciona cada medida técnica do Regulamento de Execução da NIS2 à ISO 27001, e nossa análise ponto a ponto mostra como fazer isso. Mas "mapeado" não significa "concluído", e as partes que a ISO não cobre são exatamente as que os reguladores verificam primeiro. Esta é a ordem de trabalho que recomendamos.

Dos 49 pontos de requisito de NIS2, 49 (100%) mapeiam para algo em ISO 27001, 0 são apenas vagamente relacionados e 0 não têm mapeamento em nossos dados. Abrir o relatório de lacunas →

Fase 1: confirmar e registrar (semanas 1 a 4)

1. Confirmar escopo e classificação conforme a legislação nacional de cada país da UE em que você presta serviços: setor, porte, entidade essencial ou importante.
2. Registrar-se junto à autoridade competente, quando exigido. Prazos e formatos variam de país para país.
3. Comparar os escopos: seu certificado ISO pode cobrir apenas parte da organização; a NIS2 abrange a entidade como um todo. Planeje ampliar o escopo do SGSI.

Fase 2: governança (meses 1 a 2)

1. Orientar a direção sobre seus deveres previstos no Artigo 20: aprovar as medidas, supervisioná-las e concluir o treinamento. Registrar a aprovação e o treinamento.
2. Incluir a NIS2 no SGSI: listá-la entre os requisitos legais (A.5.31), incluí-la na avaliação de riscos e acrescentar referências à NIS2 na Declaração de Aplicabilidade.

Fase 3: notificação (meses 1 a 3)

1. Elaborar o procedimento de notificação de incidentes significativos: quem decide a significância, quem notifica o CSIRT ou a autoridade e como você cumpre o alerta precoce em 24 horas, a notificação em 72 horas e o relatório final em um mês. Nossa publicação sobre como construir esse procedimento o detalha passo a passo.
2. Testar o procedimento, inclusive fora do horário comercial.

Fase 4: aprofundar as medidas técnicas (meses 2 a 6)

1. Executar a comparação requisito a requisito com o relatório de lacunas ISO 27001 → NIS2 e marcar cada ponto como atendido, parcialmente atendido ou não atendido.
2. Priorizar as lacunas habituais: segurança da cadeia de suprimentos (critérios para fornecedores e cláusulas contratuais), tratamento de vulnerabilidades e divulgação coordenada, política de criptografia e avaliação de eficácia (Artigo 21(2)(f)).
3. Incorporar o detalhamento da NIS2 aos controles ISO existentes, em vez de criar controles paralelos.

Fase 5: comprovar que funciona (contínuo)

1. Incluir a NIS2 na auditoria interna e na análise crítica pela direção.
2. Manter evidências de eficácia: métricas, resultados de testes e constatações de auditoria, pois os supervisores pedem a comprovação de que as medidas funcionam, e não apenas de que existem.
3. Acompanhar as orientações nacionais: as autoridades ainda estão publicando expectativas e modelos.

Quem faz o quê

Um plano como este exige mais do que o gestor do SGSI:

• A direção: aprova as medidas, concluí o treinamento e recebe relatórios periódicos.
• Jurídico ou compliance: confirma o escopo conforme a legislação nacional, cuida do registro e acompanha as orientações nacionais.
• Operações de segurança: é responsável pelo procedimento de notificação, pela decisão de significância e pelos exercícios.
• Compras: incorpora critérios de seleção de fornecedores e cláusulas de segurança nos contratos.
• Engenharia e TI: fecha lacunas técnicas, como divulgação de vulnerabilidades, criptografia e métricas de eficácia.
• O gestor do SGSI: coordena, mantém o mapeamento e as evidências atualizados e conduz a auditoria interna.

Nomear esses papéis desde o início evita a falha mais comum: um programa de NIS2 conduzido inteiramente pela equipe de segurança, que não pode aprovar as próprias medidas nem reescrever contratos de compras.

Principais conclusões

• Para organizações certificadas na ISO, a NIS2 é uma extensão, e não um novo programa.
• Comece por escopo, registro, deveres da direção e notificação.
• Em seguida, aprofunde cadeia de suprimentos, tratamento de vulnerabilidades e criptografia.

A armadilha a evitar

Tratar a NIS2 como um exercício documental. Organizações certificadas na ISO costumam já ter as políticas; os supervisores vão perguntar se o procedimento de notificação funciona às 2 da manhã, se a direção de fato recebeu treinamento e se os requisitos para fornecedores constam de contratos reais. Dedique esforço a isso primeiro.

Consulte o guia da NIS2 e a comparação ISO 27001 vs NIS2 para o panorama completo.

Perguntas

Quanto tempo leva para passar da ISO 27001 para a NIS2?

Depende do escopo e das lacunas identificadas, mas, como a maioria das medidas técnicas é mapeável, o trabalho concentra-se principalmente em governança, notificação, segurança de fornecedores e no aprofundamento de controles específicos, o que costuma levar meses, e não um novo programa de vários anos.

Preciso recertificar a ISO 27001 para a NIS2?

Não. A conformidade com a NIS2 é avaliada pela sua autoridade nacional, e não por um organismo certificador. Incorporar os requisitos da NIS2 ao SGSI significa que suas auditorias existentes também os verificarão.

O mapeamento da ENISA é vinculante?

Não. O mapeamento da ENISA do Regulamento de Execução para a ISO 27001 e o NIST CSF 2.0 é uma orientação. As autoridades nacionais decidem sobre a conformidade conforme a legislação nacional.