Novo Nordisk, Nestlé, Hermes International, L´Oreal, Novartis, Shell, Siemens, HSBC, Airbus e Allianz. As empresas brasileiras que desejam realizar negócios com essas e outras gigantes europeias precisam estudar, com urgência, a nova lei de segurança digital que está mudando a face da União Europeia. Trata-se da Network and Information Systems 2 (NIS 2), legislação já consolidada no Parlamento Europeu e que, a partir de 17 de outubro, deverá ser adotada como lei nacional pelos 27 Estados-membros da União Europeia. Da mesma forma como, em 2016, a Europa saiu na frente em relação à privacidade de dados, com o desenho e a implementação da GDPR (General Data Protection Regulation) — o modelo sobre o qual foi criada a brasileira LGPD — a NIS 2 se posiciona como uma pedra angular na proteção de regiões inteiras contra ciberataques e terrorismo digital.

A Europa encontrou, na NIS 2, um roteiro completo de reinvenção de processos e posturas de segurança digital para elevar a maturidade digital de um continente estratégico. Há um descontentamento geral com o que foi conquistado com a primeira versão da NIS 2 — a NIS 1, lançada em 2016. De lá para cá, os ataques se multiplicaram.

O mais recente relatório da Enisa, a agência da União Europeia para segurança cibernética, acerca do panorama de ameaças na região revelou que 10 terabytes (TB) de dados são roubados todos os meses. O ransomware ocupou o primeiro lugar da lista de ataques cibernéticos na UE, seguido de perto pelos ataques distribuídos de negação de serviço (DDoS).

Para melhorar esse quadro, a NIS 2 impõe novos controles sobre as empresas europeias e sobre quem vende produtos e serviços a esse universo. A regulamentação introduz um conjunto de medidas obrigatórias que cada entidade precisa adotar para prevenir incidentes de segurança cibernética.

• • Análise de riscos e políticas de segurança para sistemas de informações;
• • Tratamento de incidentes;
• • Continuidade de negócios, como gestão de backups e recuperação de desastres, e gerenciamento de crises;
• • Segurança da cadeia de abastecimento (supply chain);
• • Políticas e procedimentos para avaliar a eficácia das medidas de gerenciamento de riscos de segurança cibernética;
• • Práticas básicas de higiene cibernética e treinamento em segurança cibernética;
• • Políticas e procedimentos referentes ao uso de criptografia e, quando apropriado, encriptação;
• • Segurança de RH, políticas de controle de acesso e gestão de ativos;
• • Uso de autenticação multifatorial ou soluções para autenticação contínua.

Os setores mais críticos — aqueles que, ao sofrerem ataques, afetam a sociedade como um todo — são energia, transporte, bancos, infraestrutura para o mercado financeiro, saúde, água potável, água servida, infraestrutura digital, gestão de serviços de TIC, administração pública (central e regional) e indústria aeroespacial. A lei exige que as organizações que sofrerem violações relatem incidentes.

NIS 2 busca evitar o efeito “dominó” de ataques que podem afetar toda a sociedade.

A NIS 2 trata de forma diferente organizações “essenciais” e “importantes”. A meta é deixar claro quais empresas estão no centro de ecossistemas que dependem da organização central para realizar negócios, gerar e compartilhar informações etc. Um ataque a uma empresa com esse perfil pode gerar um efeito “dominó” na economia europeia.

Uma entidade grande é definida como uma empresa com um mínimo de 250 funcionários ou com turnover anual mínimo de 50 milhões de euros ou um balanço anual total de, no mínimo, € 43 milhões.

Entidades importantes são empresas de médio porte – com um mínimo de 50 funcionários ou turnover anual (ou balanço total) de, no mínimo, 10 milhões de euros, porém com menos de 250 funcionários e turnover anual não superior a € 50 milhões ou balanço total de €  43 milhões.

As empresas que violarem as normas da NIS 2 pagarão pesadas multas

• • Para organizações essenciais: multas administrativas de até € 10 milhões (R$ 55 milhões) ou, no mínimo, 2% do turnover total anual mundial no ano fiscal anterior. Prevalece o maior valor.
• • Para organizações importantes: multas administrativas de até € 7 milhões (cerca de R$ 38 milhões) ou, no mínimo, 1,4% do turnover total anual mundial no ano fiscal anterior. Prevalece o maior valor.

Cadeia de Suprimentos sob a lupa: NIS 2 exige mudanças nos fornecedores

A nova legislação europeia é especialmente rigorosa em tudo o que diz respeito a supply chain (cadeia de suprimentos) das organizações europeias. Há uma lógica nesta abordagem: segundo o Gartner, sessenta por cento dos executivos do C-Level consideram os ataques à cadeia de suprimentos o tipo de ameaça cibernética que mais poderia impactar seus negócios.

Há casos que confirmam esta análise. A europeia Airbus, por exemplo, foi afetada por um ataque à cadeia de suprimentos em janeiro de 2023, efetuado por um agente de ameaças conhecido como USDoD. A Airbus confirmou que o ataque havia sido realizado por meio de uma conta de usuário comprometida da Turkish Airlines, uma das clientes da Airbus. Os dados vazados incluíram informações pessoais associadas a mais de 3.000 fornecedores da Airbus.

Na visão da União Europeia, a cadeia de suprimentos é um ponto vulnerável que pode levar ataques à Europa por meio dos parceiros de negócios das empresas europeias. Essa é a razão da longa série de provisões específicas referentes à segurança de cadeias de suprimentos de TIC e aos relacionamentos com fornecedores B2B em geral.

IA e treinamento de usuários para fortalecer a postura de segurança das empresas

As organizações brasileiras envolvidas em cadeias de suprimentos europeias precisam compreender quais são seus ativos digitais e quais são os principais riscos às operações e à estratégia de negócios — e, com base nisso, fortalecer sua postura de segurança para comprovar seu alinhamento às normas NIS 2.

A NIS 2 impõe uma transformação contínua das estratégias de segurança cibernética de países e organizações. Tecnologias avançadas de segurança como soluções XDR e NDR baseadas em inteligência artificial (IA) são claramente recomendadas pela lei, que compreende a escala planetária dos negócios digitais e considera a IA uma peça-chave na automação de defesas e ações corretivas. A NIS 2 exige, ainda, programas de treinamento mais estruturados, simplificação do relato de incidentes, aprimoramento da postura geral de segurança e uma consistente e constante dotação orçamentária para segurança cibernética.

Padrões globais como a NIS 2 poderão tornar-se a norma à medida que o mundo digital evolui para enfrentar ataques cada vez mais sofisticados e eficazes. As empresas brasileiras que entenderem isso estarão um passo à frente da concorrência, destacando-se por sua maturidade digital e realizando cada vez mais negócios.

Crédito do post: cisoadvisor.com.br