Na década de 90 do século passado, a União Europeia passou a legislar sobre segurança da informação e proteção de dados como forma de assegurar o legítimo e salutar funcionamento da atividade digital das empresas dos Estados-Membros da União Europeia. A legislação formal teve início em 1995 e evoluiu significativamente ao longo dos últimos anos em resposta às novas necessidades e tecnologias.
A Diretiva 2002/58/CE (Privacidade e Comunicações Eletrónicas), criou normas específicas para a proteção da privacidade no setor das telecomunicações e comunicações digitais. A segurança da informação como área mais abrangente ganhou maior atenção com o Regulamento Geral sobre a Proteção de Dados (RGPD), que entrou em vigor em 2018, modernizando a proteção de dados no contexto digital.
Outras orientações legais europeias em vigor desempenham um papel crucial na segurança da informação, nomeadamente o Trusted Information Security Assessment Exchange (TISAX), que garante a proteção da propriedade intelectual e dados sensíveis, e o Regulamento eIDAS, que estabelece normas para serviços eletrónicos de confiança, incluindo assinaturas eletrónicas e autenticação.
Network and Information Systems – Diretivas NIS e NIS 2
A primeira Diretiva NIS (Segurança das Redes e da Informação) surgiu em 2016 e veio estabelecer normas para melhorar a cibersegurança nos Estados-Membros da UE.
Em outubro de 2024, passou a vigorar a Diretiva NIS 2, que veio alargar o perímetro de atuação da anterior NIS e impor novas responsabilidades para setores como, finanças, transportes, infraestruturas digitais, energia e saúde. A NIS 2 não só impõe a gestão de riscos em Tecnologia da Informação e Comunicação, como determina obrigatoriedade da notificação de incidentes e a aplicação de estratégias preventivas, promovendo ainda uma colaboração mais estreita entre os Estados-Membros.
Digital Operational Resilience Act – Regulamento DORA
Em vigor entre nós desde 17 de janeiro de 2025, regula a resiliência operacional digital dos serviços financeiros e aplica-se a uma vasta gama de entidades, incluindo bancos, seguradoras, prestadores de serviços financeiros e plataformas de pagamento. Pretende garantir que as empresas possam manter a continuidade dos seus serviços, mesmo perante incidentes cibernéticos ou falhas tecnológicas.
O DORA exige que as empresas adotem medidas rigorosas de gestão de riscos tecnológicos, incluindo a implementação de planos de contingência, a realização de testes regulares de resiliência e a gestão de riscos associados aos fornecedores de tecnologia. Além disso, impõe a notificação de incidentes graves dentro de prazos específicos e promove uma maior transparência e colaboração entre os reguladores financeiros, visando reforçar a confiança e a segurança no setor financeiro europeu.
Para uma melhor compreensão destas duas ferramentas legislativas compilamos abaixo as principais diferenças e interceções entre a NIS 2 e o DORA:
NIS 2
-
Objetivo
Reforçar a segurança cibernética das redes e sistemas de informação. -
Aplicação
Setores essenciais e setores importantes. -
Obrigações
Implementar medidas de segurança e gestão de riscos, monitorização e resposta a incidentes. -
Relatórios
Obrigação de reportar incidentes significativos às autoridades competentes, dentro do prazo. -
Coordenação e Supervisão
Colaboração entre os Estados-membros da U.E. na abordagem e partilha de informações. -
Conformidade Legal
Transposição para legislações nacionais dos Estados-membros. -
Multas e Sanções
Definidas por cada Estado-membro, em caso de imcumprimento. -
Fornecedores
Exigência de requisitos de segurança a fornecedores de serviços críticos a entidades essenciais e importantes. -
Entrada em Vigor
Desde 01 de outubro de 2024
DORA
-
Objetivo
Garantir a resiliência operacional de entidades financeiras e prestadores de serviços de T.I.C. -
Aplicação
Sector financeiro e prestadores de serviços de tecnologia. -
Obrigações
Criar estratégias para gerir incidentes cibernéticos, incluindo planos de continuidade. -
Relatórios
Reportar incidentes graves e ameaças às autoridades reguladoras e manter registos detalhados. -
Coordenação e Supervisão
Supervisionado por autoridades financeiras, nacionais e europeias. -
Conformidade Legal
Aplicação direta e uniforme em todos os estados membros. -
Multas e Sanções
Aplicadas diretamente em caso de não conformidade com os requisitos. -
Fornecedores
Impõe avaliação da segurança de fornecedores de T.I.C. no setor financeiro. -
Entrada em Vigor
Desde 17 de janeiro de 2025
EM COMUM
-
Objetivo
Aumentar a resiliência cibernética e a proteção contra incidentes digitais em setores estratégicos. -
Aplicação
Aplicam-se a setores críticos, embora com foco em áreas específicas (infraestruturas vs. setor financeiro). -
Obrigações
Exigem gestão de riscos, monitorização contínua e resposta a incidentes para garantir resiliência operacional. -
Relatórios
Exigencia de notificação de incidentes. -
Coordenação e Supervisão
Incentivam a cooperação entre autoridades e partes interessadas a nível europeu. -
Conformidade Legal
São ambos documentos orientadores europeus. -
Multas e Sanções
Ambos incluem penalizações financeiras para garantir conformidade. -
Fornecedores
Destacam a importância da segurança na cadeia de fornecimento. -
Entrada em Vigor
Têm prazos de implementação para garantir a conformidade das organizações.
Porque é importante adotar a NIS2 e o DORA nas empresas?
Estas regulamentações ajudam a minimizar os riscos associados à infraestrutura digital das empresas, essencial no contexto crescente de digitalização e da ameaça cibernética.
Fique a conhecer os principais benefícios:
- Proteção contra Ciberameaças – Podem comprometer dados sensíveis e afetar a continuidade dos negócios.
- Reforço da Resiliência Operacional – As empresas precisam de planos de recuperação e gestão de crises bem definidos.
- Conformidade Regulamentar – O cumprimento das normas evita sanções, multas significativas e danos na reputação.
- Aumento da Confiança do Cliente e Mercado – A proteção dos dados e a continuidade das operações em momentos de crise, aumenta a fiabilidade e confiança na empresa.
- Gestão de Riscos – Avaliar e mitigar riscos, implementar controles de segurança e garantir práticas de gestão de crises contínuas, e não reativas, torna as empresas cada vez menos vulneráveis a futuras ameaças.
- Impacto no Mercado Digital – Empresas que cumprem com a implementação destas duas normas contribuem para a confiança geral na infraestrutura digital europeia e global.
A que perigos as empresas ficam vulneráveis, caso não se adequem à NIS2 e DORA?
O cumprimento destas regras europeias permite às empresas protegerem-se e aos seus funcionários de riscos de cibersegurança, tais como:
- Ataques de Ransomware: Os atacantes bloqueiam o acesso aos sistemas e exigem um resgate para liberar os dados.
- Phishing e Engenharia Social: Os atacantes fazem-se passar por fontes confiáveis para obter informações sensíveis ou aceder a sistemas críticos.
- Ataques de DDoS (Distributed Denial of Service): Ataques que visam sobrecarregar servidores ou redes, causando paragens e prejudicando os serviços.
- Exploração de Vulnerabilidades de Software: Ataques que exploram vulnerabilidades, permitindo acesso não autorizado ou comprometer dados sensíveis.
- Comprometimento de Fornecedores: Sem medidas adequadas, um fornecedor comprometido pode ser uma porta de entrada para ataques cibernéticos direcionados à organização.
- Acesso não autorizado e exfiltração de dados: Os atacantes podem obter acesso não autorizado a sistemas e dados sensíveis, levando à exfiltração de dados confidenciais ou proprietários.
- Ataques internos: A falta de uma gestão adequada dos riscos internos, como o controlo de privilégios de acesso e monitorização contínua, pode tornar a organização vulnerável a ataques provenientes de funcionários ou terceiros com acesso a sistemas internos.
- Roubo de credenciais: Otenção de credenciais de login para aceder a sistemas e dados sensíveis, normalmente através de phishing ou de websites falsos;
- Abuso de falhas de configuração de segurança: ataque que explora configurações incorretas ou fracas em sistemas de IT;
- Ataques de Zero-Day e explorações de vulnerabilidades de software: ataques que exploram vulnerabilidades desconhecidas ou não corrigidas de um sistema ou software.
Garanta a Segurança da Sua Empresa
A conformidade com as regulamentações de cibersegurança, como o NIS2 e o DORA, pode ser um desafio, dado a sua complexidade e abrangência.
Mas não se preocupe, estamos aqui para ajudar os nossos Clientes.
Oferecemos o apoio especializado de que a sua empresa precisa para garantir a conformidade com estas normas, implementar as melhores práticas e preparar adequadamente para auditorias e potenciais incidentes.
Confie na nossa experiência comprovada para fortalecer a segurança da sua empresa e proteger o seu futuro digital.