Notificação de incidentes NIS2, em palavras simples
Última atualização:
A diretiva europeia NIS2 pede a muitas organizações que notifiquem incidentes de cibersegurança significativos à autoridade nacional, com prazos fixos. Veja o que ela pede, e onde o InfraFence ajuda você a cumprir.
Isso se aplica a você?
A NIS2 abrange organizações médias e grandes de setores como energia, transportes, bancos, saúde, água, infraestrutura digital (nuvem, hospedagem, data centers, DNS), serviços gerenciados de TI e de segurança, administração pública, indústria e serviços digitais, e algumas menores independentemente do tamanho, como provedores de DNS e de serviços de confiança. Ela vale para organizações que atuam na UE; cada país da UE a aplica com a própria lei e designa a própria autoridade: confirme com eles ou com o seu consultor.
O que conta como incidente significativo
Um que causou, ou pode causar, uma perturbação grave dos seus serviços ou perdas financeiras para você, ou danos consideráveis a outras pessoas ou organizações. Decidir se um incidente é significativo cabe a você.
Três prazos
Em até 24 horas
Alerta precoce
A partir do momento em que você toma conhecimento de um incidente significativo: informe que ele ocorreu, se há suspeita de que foi causado por atos ilícitos ou maliciosos e se pode ter impacto em outros países.
Em até 72 horas
Notificação do incidente
Atualize o alerta precoce com uma primeira avaliação: a gravidade do incidente, o seu impacto e, se disponíveis, os indicadores de comprometimento. Nesse meio-tempo a autoridade pode pedir atualizações de situação.
Em até um mês
Relatório final
Um mês após a notificação: uma descrição detalhada, o tipo de ameaça ou a causa raiz, as medidas de mitigação aplicadas e em andamento, e qualquer impacto em outros países. Se o incidente ainda estiver em curso, envie então um relatório de progresso, e o final em até um mês depois de tratá-lo.
Há dados pessoais? Artigo 33 do RGPD
Se o incidente também for uma violação de dados pessoais, o RGPD pede ao responsável pelo tratamento que a notifique à autoridade de proteção de dados em até 72 horas após tomar conhecimento dela, a menos que seja improvável que resulte em risco para os direitos e liberdades das pessoas. As duas obrigações correm em paralelo, perante autoridades diferentes.
Como o InfraFence ajuda
Uma linha do tempo que você não precisa reconstruir
Os eventos dos seus servidores já estão num só lugar: quando o ataque começou, o que foi bloqueado, quem entrou por SSH, quais arquivos mudaram, e cada ação feita, por uma pessoa ou pelo AutoMode, com aprovações e desfazer.
Rascunhos em minutos, no seu idioma
A partir de um incidente ou de um período, a IA redige o alerta precoce, a notificação do incidente e o relatório final, e a avaliação da violação segundo o artigo 33 do RGPD, usando essa linha do tempo. Incluído no Pro e no AutoMode.
Seus para editar
Cada rascunho pode ser editado e é salvo em versões. Exporte em Markdown ou imprima em PDF, e complete com o que só você sabe: o impacto no negócio, as pessoas afetadas, as decisões tomadas.
As medidas adotadas, documentadas
A NIS2 também pede medidas de gestão de riscos, como tratamento de vulnerabilidades, controle de acesso e registro de eventos. Verificações de hardening, varreduras de vulnerabilidades, autenticação de dois fatores, o registro de atividades, a pontuação de segurança e o relatório mensal ajudam você a mostrar o que está em vigor nos seus servidores.
O que o InfraFence não faz
- Não decide se um incidente é significativo ou precisa ser notificado: quem decide é você.
- Não envia nada a nenhuma autoridade: você revisa, completa e envia os relatórios.
- Os rascunhos não são aconselhamento jurídico e sozinhos não tornam você conforme.
- Só vê o que o agente vê nos seus servidores: os outros sistemas, as pessoas e os fornecedores ficam por sua conta.
Esta página é um resumo em palavras simples do artigo 23 da Diretiva (UE) 2022/2555 (NIS2) e do artigo 33 do Regulamento (UE) 2016/679 (RGPD), apenas para informação. As leis nacionais diferem nos detalhes: para as suas obrigações, consulte os textos oficiais, a sua autoridade nacional e o seu consultor.
Esteja pronto antes de o relógio começar a correr
Comece grátis com um servidor. Os rascunhos de relatórios vêm com o Pro e o AutoMode; toda conta nova tem 14 dias de AutoMode grátis, sem cartão.