Notificação de incidentes NIS2: cumprindo os prazos de 24 e 72 horas

Os prazos de notificação da NIS2 começam quando você toma conhecimento de um incidente significativo, e não quando a semana de trabalho começa. Veja como criar um procedimento que os cumpra.

O Artigo 23 da NIS2 estabelece três prazos de notificação para incidentes significativos. Um alerta precoce em até 24 horas a partir da ciência, uma notificação de incidente em até 72 horas e um relatório final em até um mês. A ISO 27001 e a maioria dos frameworks exigem gestão de incidentes, mas nenhum exige notificar um regulador nesse prazo. Veja como criar um procedimento que atenda a isso.

Os três relatórios

Relatório	Prazo	Conteúdo
Alerta precoce	24 horas a partir da ciência	Se o incidente é suspeito de ser malicioso e se pode ter impacto transfronteiriço
Notificação de incidente	72 horas a partir da ciência	Uma atualização, uma avaliação inicial de gravidade e impacto, e indicadores de comprometimento quando disponíveis
Relatório final	Um mês após a notificação	Descrição detalhada, causa raiz provável, mitigação aplicada e em andamento, impacto transfronteiriço

A autoridade também pode solicitar atualizações intermediárias. Se o incidente ainda estiver em andamento ao final de um mês, você apresenta um relatório de progresso e um relatório final em até um mês após o tratamento do incidente.

Etapa 1: defina o que é “significativo” para sua organização

O critério do Artigo 23(3) é amplo: disrupção operacional grave ou perda financeira, ou dano considerável a terceiros. Para determinados provedores digitais, o Regulamento de Execução estabelece critérios mais específicos. Transforme-os em uma lista curta de decisão que seu líder de plantão possa aplicar em minutos, com exemplos, e deixe claro que, na dúvida, você envia o alerta precoce.

Etapa 2: defina as pessoas

Quem decide a relevância (e um substituto, a qualquer hora).
Quem envia ao CSIRT ou à autoridade, com acesso ao portal de notificação testado previamente.
Quem aprova o conteúdo, sem que a aprovação se torne um gargalo. Um alerta precoce exige poucos detalhes.
Quem informa a alta direção, que, nos termos do Artigo 20, é responsável.

Fotografia de um celular virado para baixo sobre uma mesa de cabeceira, ao lado de um abajur e de um copo de água, em um quarto escuro — O prazo de 24 horas não espera o expediente.

Etapa 3: conecte-o ao seu processo de incidentes

Acrescente um ponto de decisão sobre notificação ao seu plano de resposta a incidentes existente: na triagem, pergunte “isto pode ser significativo?” e registre ali o início da contagem. Registre com cuidado o momento da ciência, pois é a partir dele que todos os prazos são medidos.

Etapa 4: coordene os outros prazos

Um incidente significativo frequentemente aciona mais de uma obrigação:

RGPD [GDPR]: notificar a autoridade de supervisão em 72 horas se houver violação de dados pessoais (Artigo 33).
Contratos: cláusulas de notificação a clientes, frequentemente de 24 a 72 horas.
Outros regimes: bandeiras de pagamento para dados de cartão, reguladores setoriais e a DORA para entidades financeiras.

Um único coordenador deve manter a lista, para que nenhum prazo seja perdido porque outra equipe presumiu que ele era dela.

Etapa 5: modelos e prática

Prepare modelos para cada um dos três relatórios, com os campos exigidos, preenchidos previamente com os dados da empresa. Em seguida, realize um exercício pelo menos uma vez por ano, de preferência começando em uma sexta-feira à noite, e cronometre-o.

Um cenário prático

Para testar o procedimento, execute um exercício curto como este, de preferência começando tarde de uma sexta-feira:

Hora 0: o monitoramento sinaliza atividade incomum de criptografia em um servidor de arquivos que dá suporte a um serviço voltado ao cliente.
Hora 2: o engenheiro de plantão confirma ransomware em vários servidores; o serviço está degradado para alguns clientes.
Ponto de decisão: isto é significativo? Aplique sua lista de verificação e registre a decisão e o horário.
Antes da hora 24: envie um alerta precoce usando o modelo, indicando suspeita de atividade maliciosa e possível impacto transfronteiriço.
Antes da hora 72: envie a notificação com uma avaliação inicial e indicadores de comprometimento.
Prazos paralelos: dados pessoais acionam a notificação ao RGPD? Os contratos exigem aviso aos clientes?

Cronometre cada etapa. As lacunas que você encontrar (quem tem acesso ao portal, quem pode aprovar, onde estão os modelos) são as verdadeiras fraquezas do procedimento.

Mantenha os registros

Registre cada incidente avaliado quanto à relevância, inclusive aqueles que você decidiu não notificar, com a justificativa. Os supervisores vão perguntar como você decide, e não apenas o que você notificou.

As páginas de tópicos Resposta a incidentes e Notificação comparam requisitos entre frameworks, e o guia da NIS2 cobre o restante do regulamento.

Perguntas

O que conta como incidente significativo na NIS2?

Segundo o Artigo 23(3), um incidente que causou ou pode causar disrupção operacional grave ou perda financeira para a entidade, ou que afetou ou pode afetar outras pessoas causando dano material ou imaterial considerável. O Regulamento de Execução estabelece limiares mais específicos para determinados provedores digitais.

Para quem você notifica sob a NIS2?

O CSIRT nacional ou a autoridade competente designada pela lei da NIS2 do seu Estado-membro. Alguns países usam um ponto único de notificação.

Dados atualizados em 2026-10-27: os números deste artigo são calculados a partir da correspondência atual e são atualizados quando ela muda. Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Não é aconselhamento de conformidade.

Notificação de incidentes da NIS2: prazos de 24 e 72 horas