Responsabilidade da gestão na NIS2: haverá mudança no comportamento dos conselhos?

Durante vinte anos, líderes de segurança pediram aos conselhos que levassem a cibersegurança a sério, com resultados variados. A NIS2 muda a estrutura de incentivos. O Artigo 20 exige que os órgãos de gestão das entidades abrangidas aprovem as medidas de gestão de riscos de cibersegurança, supervisionem a sua implementação e sigam formação eles próprios, além de responsabilizá-los por infrações. Para entidades essenciais, as autoridades nacionais podem, em certas circunstâncias, pedir a suspensão temporária de um gestor no exercício de funções de gestão.

Essa obrigação vai mudar o comportamento dos conselhos? Acredito que sim, mas não automaticamente, e nem sempre da forma que as equipes de segurança esperam.

O que deve mudar

• A aprovação passa a ser real. Um conselho que precisa aprovar as medidas, e pode ser responsabilizado por elas, tem motivo para entender o que está aprovando.
• A formação deixa de ser opcional. Os diretores devem seguir formação suficiente para identificar riscos e avaliar práticas de gestão. Muitos conselhos, pela primeira vez, terão uma base comum de entendimento.
• A supervisão ganha estrutura. Relatórios regulares sobre medidas, incidentes e progresso tornam-se um dever legal, não uma cortesia.

O que pode dar errado

• A responsabilização pode incentivar o preenchimento de formulários. Conselhos preocupados com a exposição pessoal podem exigir evidências de conformidade em vez de evidências de segurança: mais atestados, mais papelada, os mesmos riscos.
• A formação pode virar mera formalidade. Um vídeo anual de uma hora cumpre a letra de um requisito de formação e não muda nada.
• As equipes de segurança podem depender demais do medo. «Você pode ser responsabilizado» chama atenção uma vez. Não sustenta um programa.

O que os conselhos devem fazer agora

1. Entender quais medidas estão aprovando. O Artigo 21 lista dez áreas; o Regulamento de Execução as detalha para prestadores digitais. Peça uma visão de uma página sobre a situação da organização em cada uma.
2. Exigir resultados, não documentos. Com que rapidez poderíamos comunicar um incidente significativo? Quando restauramos um backup pela última vez? Quais fornecedores poderiam nos derrubar?
3. Usar um framework que o conselho consiga ler. A função Governar do NIST CSF 2.0 cobre exatamente o território do conselho: contexto, estratégia de risco, papéis, políticas, supervisão e cadeia de suprimentos. Veja reporte ao conselho com perfis do CSF.
4. Tornar a formação substantiva: baseada em cenários, específica para o negócio e repetida.

Perguntas que um conselho pode fazer amanhã

Os conselhos não precisam se tornar especialistas em segurança para supervisioná-la bem. Precisam fazer perguntas que não podem ser respondidas com um documento:

• Se nosso sistema mais importante fosse criptografado por ransomware esta noite, quanto tempo levaríamos para voltar a operar, e quando testamos isso pela última vez?
• Quais três fornecedores poderiam nos causar mais dano, e o que sabemos sobre a segurança deles?
• Quantas vulnerabilidades críticas estão abertas em sistemas expostos à internet, e qual é a idade da mais antiga?
• Quem decide se um incidente é significativo o bastante para ser comunicado em 24 horas, e essa decisão já foi praticada?
• O que nossa última auditoria ou avaliação encontrou, e o que mudou desde então?

As respostas devem vir acompanhadas de evidências: resultados de testes, métricas, datas. Com o tempo, as perguntas do conselho moldam o que a gestão mede, exatamente a supervisão que o Artigo 20 exige. A análise de lacunas mostra quais medidas da NIS2 o seu framework atual já suporta.

Principais conclusões

• O Artigo 20 obriga os conselhos a aprovar, supervisionar e capacitar-se em cibersegurança.
• A responsabilização pode gerar supervisão real ou mais papelada.
• Os conselhos devem exigir resultados e evidências, não documentos.

A oportunidade

O Artigo 20 dá aos líderes de segurança a atenção do conselho por lei. O melhor uso disso não é brandir a cláusula de responsabilização, mas levar ao conselho decisões reais: quais riscos está disposto a aceitar, o que financiará e o que espera ver. Isso é governança. O resto é papelada.

Para o panorama geral, veja o guia da NIS2 e nosso post sobre o procedimento de reporte de incidentes da NIS2. A página do framework NIS2 mapeia cada ponto do Regulamento de Execução para dez frameworks.

Perguntas

O que o Artigo 20 da NIS2 exige da gestão?

Os órgãos de gestão de entidades essenciais e importantes devem aprovar as medidas de gestão de riscos de cibersegurança, supervisionar a sua implementação, seguir formação e podem ser responsabilizados por infrações. Os Estados-Membros também incentivam a formação regular do pessoal.

Os membros do conselho podem ser pessoalmente responsabilizados sob a NIS2?

A NIS2 exige que os Estados-Membros assegurem que a gestão possa ser responsabilizada por infrações e, para entidades essenciais, permite em alguns casos a suspensão temporária do exercício de funções de gestão. A forma como a responsabilização funciona depende da legislação nacional.

Que formação os órgãos de gestão da NIS2 devem seguir?

Formação suficiente para adquirir conhecimentos e competências que permitam identificar riscos e avaliar as práticas de gestão de riscos de cibersegurança e o seu impacto nos serviços prestados pela entidade. O formato fica a critério da entidade e da legislação nacional.