Conformidade com a NIS2: um guia prático

Por Paul Gillet · Atualizado em 2026-10-17

A NIS2 é a principal lei de cibersegurança da UE: Diretiva (UE) 2022/2555. Por ser uma diretiva, ela é implementada por meio da legislação nacional de cada Estado-Membro, cujo prazo para transposição era 17 de outubro de 2024. As obrigações centrais são as mesmas em todos os países, mas o registro, a supervisão, as sanções e alguns detalhes variam de país para país; por isso, verifique sempre a legislação nacional do local onde você atua.

Você está no escopo?

A NIS2 abrange entidades em 18 setores. O Anexo I lista setores de alta criticidade: energia, transporte, bancário, infraestrutura de mercados financeiros, saúde, água potável, águas residuais, infraestrutura digital, gestão de serviços de TIC business-to-business, administração pública e espaço. O Anexo II lista outros setores críticos: serviços postais e de courier, gestão de resíduos, químicos, alimentos, manufatura (incluindo dispositivos médicos, eletrônicos, máquinas e veículos), provedores digitais e pesquisa.

Como regra geral, uma entidade está no escopo se atua em um desses setores na UE e é pelo menos de porte médio (50 ou mais colaboradores, ou faturamento anual e balanço anual acima de €10 milhões). Algumas estão no escopo independentemente do porte, como provedores de serviços DNS, registros de domínios de topo, prestadores de serviços de confiança e provedores de redes públicas de comunicações eletrônicas. As entidades são classificadas como essenciais ou importantes; ambas devem atender às mesmas medidas, mas a supervisão e as multas máximas diferem.

O que a NIS2 exige

• Governança (Artigo 20): os órgãos de gestão devem aprovar as medidas de gestão de riscos, supervisioná-las e participar de treinamento em cibersegurança. Eles podem ser responsabilizados por falhas.
• Medidas de gestão de riscos (Artigo 21): uma abordagem de todos os riscos que abrange (a) análise de riscos e políticas de segurança; (b) tratamento de incidentes; (c) continuidade de negócios, backups, recuperação de desastres e gestão de crises; (d) segurança da cadeia de suprimentos; (e) segurança na aquisição, desenvolvimento e manutenção, incluindo tratamento e divulgação de vulnerabilidades; (f) avaliação da eficácia dessas medidas; (g) higiene cibernética básica e treinamento; (h) criptografia e cifragem; (i) segurança de recursos humanos, controle de acesso e gestão de ativos; e (j) autenticação multifator ou contínua e comunicações protegidas.
• Notificação de incidentes (Artigo 23): para um incidente significativo, um alerta preliminar ao CSIRT ou à autoridade competente em até 24 horas após tomar conhecimento, uma notificação do incidente em até 72 horas e um relatório final em até um mês.
• Registro: a maioria das entidades deve se registrar na autoridade nacional.

O Regulamento de Execução

Para determinados provedores digitais, a Comissão detalhou as medidas do Artigo 21 no Regulamento de Execução (UE) 2024/2690: provedores de serviços DNS, registros de TLD, serviços de computação em nuvem e data centers, redes de distribuição de conteúdo, provedores de serviços gerenciados e de serviços de segurança gerenciados, mercados online, mecanismos de busca, plataformas de redes sociais e prestadores de serviços de confiança. Seu Anexo é bem mais específico do que o próprio Artigo 21. Os requisitos da NIS2 no ControlMapping são os pontos desse Anexo, com os títulos da ENISA e o mapeamento oficial da ENISA para a ISO 27001 e o NIST CSF 2.0. As demais entidades seguem a legislação nacional, mas o Anexo e as orientações de implementação da ENISA são uma referência sólida para qualquer pessoa.

As etapas

1. Confirme o escopo e a classificação conforme a legislação nacional de cada país em que você atua, e registre-se quando exigido.
2. Informe o órgão de gestão: ele deve aprovar as medidas e concluir o treinamento, então comece por aí.
3. Realize uma análise de lacunas em relação ao Artigo 21 ou ao Anexo do Regulamento de Execução, se ele se aplicar a você. Se você possui a ISO 27001, parta da comparação ISO 27001 → NIS2.
4. Implemente as medidas faltantes; a segurança da cadeia de suprimentos e o tratamento de vulnerabilidades costumam exigir mais trabalho novo.
5. Elabore o procedimento de notificação: defina quem avalia se um incidente é significativo e pratique o cumprimento dos prazos de 24 e 72 horas, inclusive fora do horário comercial.
6. Mantenha evidências de eficácia (Artigo 21(2)(f)): auditorias, testes e métricas que demonstrem que as medidas funcionam.

A ISO 27001 torna você em conformidade com a NIS2?

Não por si só, mas ela leva você a grande parte do caminho. O mapeamento da ENISA relaciona cada ponto do Regulamento de Execução a cláusulas da ISO 27001 ou a controles do Anexo A, de modo que uma organização certificada na ISO possui a maior parte das medidas técnicas e organizacionais. O que a ISO não oferece: os prazos de notificação, o treinamento e a responsabilização da alta direção, o registro e os requisitos técnicos específicos que alguns pontos do Anexo detalham mais do que o Anexo A. Quem decide se você está em conformidade é a sua autoridade nacional, e não o seu organismo certificador.

Supervisão e sanções

As autoridades nacionais supervisionam entidades essenciais de forma proativa (auditorias, inspeções, varreduras de segurança) e entidades importantes após o fato, geralmente na sequência de um incidente ou de uma denúncia. As multas máximas são de pelo menos €10 milhões ou 2% do faturamento anual mundial para entidades essenciais, e de €7 milhões ou 1,4% para entidades importantes, o que for maior.

Como este site ajuda

Cada ponto de requisito da NIS2 aqui se vincula à ISO 27001 e ao NIST CSF 2.0 por meio do mapeamento da ENISA, e daí aos demais frameworks. A tabela abaixo mostra quanto da NIS2 cada framework que você já possui cobre.

Já tem outro framework?

Quantos requisitos de NIS2 que já pode seguir correspondem a cada framework. Abra um relatório de lacunas para a lista requisito a requisito.

Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · Vagamente relacionado compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. As contagens provêm dos mesmos dados que o análise de lacunas; um mapeamento significa requisitos relacionados, não prova que um satisfaz o outro.

Perguntas

Quando a NIS2 passou a ser aplicável?

Os Estados-Membros deveriam aplicar suas leis nacionais da NIS2 a partir de 18 de outubro de 2024. Vários atrasaram, por isso verifique a situação do país onde você atua.

Quais são os prazos de notificação de incidentes da NIS2?

Um alerta preliminar em até 24 horas após tomar conhecimento de um incidente significativo, uma notificação do incidente em até 72 horas e um relatório final em até um mês.

A NIS2 se aplica a empresas fora da UE?

Sim. Alguns provedores digitais que oferecem serviços na UE sem estabelecimento ali devem designar um representante em um Estado-Membro.

Não é aconselhamento jurídico ou de conformidade. Verifique o texto oficial e seu auditor, avaliador ou regulador antes de se basear nele.