Consultoria NIS2: cibersegurança exigida por lei na Europa, sem complicar a operação.
A NIS2 é a diretiva europeia de cibersegurança para setores críticos. Ela alcança empresas com operação na UE e, pela cadeia de fornecimento, também quem presta serviços a elas, inclusive empresas brasileiras. Ajudo a entender o enquadramento, fechar as lacunas e comprovar isso com a documentação certa.
Não só grandes empresas: a NIS2 chega pela cadeia de fornecimento
A diretiva se aplica a médias e grandes empresas dos setores listados e, indiretamente, aos seus fornecedores.
Setores de alta criticidade
Energia, transportes, saúde, água, infraestrutura digital, gestão de serviços de TI, administração pública. Requisitos mais amplos e fiscalização preventiva.
Outros setores críticos
Indústria, alimentos, química, resíduos, serviços postais, provedores digitais, pesquisa. Requisitos básicos proporcionais.
Cadeia de fornecimento
Se você presta serviços de TI, software ou suporte a empresas europeias sujeitas à NIS2, elas precisam avaliar a sua segurança: espere questionários, cláusulas contratuais e pedidos de evidências.
O calendário da NIS2 na Itália
Cada país da UE transpôs a diretiva com regras próprias. Na Itália vale o D.Lgs. 138/2024, com as determinações da Agência para a Cibersegurança Nacional (ACN). Abaixo, os marcos principais.
Registro no portal da ACN
As entidades abrangidas se registram ou confirmam o registro. Até 14 de abril a ACN comunica a inclusão na lista.
Atualização das informações
Ponto de contato, órgãos de administração, fornecedores relevantes. Mudanças devem ser comunicadas em até 14 dias.
Notificação de incidentes significativos
Pré-notificação ao CSIRT Itália em até 24 horas, notificação em até 72 horas, relatório final em até um mês.
Medidas de segurança básicas
Prazo para as entidades incluídas na lista em 2025. A partir daqui, a ACN pode iniciar verificações e inspeções.
Entidades incluídas em 2026
Notificação de incidentes a partir de 1º de janeiro de 2027 e medidas básicas até 31 de julho de 2027.
Em outros países da UE os prazos e o órgão competente mudam. Se a sua empresa atua em mais de um país, a avaliação começa por aí.
Um caminho NIS2 em seis etapas
Verificação de enquadramento
Setor, porte e serviços: sua empresa é entidade essencial, importante ou só fornecedora?
Gap analysis das medidas
Comparação com as medidas de segurança exigidas, com evidências e prioridades.
Plano de adequação
Ações técnicas e organizacionais em ordem de risco e de custo, com responsáveis e prazos.
Gestão de incidentes
Procedimento de notificação em 24/72 horas, papéis, modelos e simulações.
Fornecedores e cadeia de suprimentos
Levantamento dos fornecedores relevantes, requisitos contratuais e questionários de segurança.
Treinamento da diretoria
Treinamento obrigatório para os órgãos de administração e programa para a equipe, documentados.
A diretoria responde pessoalmente
Órgãos de administração
Devem aprovar as medidas de gestão de risco, supervisionar a implementação e fazer treinamento em cibersegurança. Em caso de violações, respondem pessoalmente.
NIS2, ISO 27001 e LGPD
- Boa parte das medidas da NIS2 coincide com os controles da ISO/IEC 27001.
- Para empresas brasileiras, a mesma base atende às exigências de segurança da LGPD.
- Um único conjunto de documentos para os três marcos.
O que está em jogo
Entidades essenciais: valor máximo da multa (aplica-se o maior).
Entidades importantes: valor máximo da multa (aplica-se o maior).
Em caso de descumprimento reiterado, pode haver impedimento temporário para exercer funções de direção.
Valores da transposição italiana (D.Lgs. 138/2024), alinhados aos mínimos da diretiva.
NIS2: as perguntas que mais recebo
A NIS2 se aplica a empresas brasileiras?
Diretamente, quando a empresa presta na UE serviços dos setores abrangidos, por exemplo por meio de filial ou como provedor digital. Indiretamente, e com muito mais frequência, como fornecedora de empresas europeias sujeitas à NIS2, que precisam exigir segurança da sua cadeia.
Como saber se a minha empresa está no escopo?
Contam o setor (anexos I e II da diretiva), o porte (em geral a partir de médias empresas: 50 funcionários ou mais de 10 milhões de euros de faturamento) e alguns casos específicos que independem do porte.
Quais são os prazos para notificar um incidente?
Pré-notificação em até 24 horas após tomar conhecimento, notificação em até 72 horas e relatório final em até um mês, além de um relatório intermediário se for solicitado.
A certificação ISO 27001 basta para cumprir a NIS2?
Não, mas ajuda muito. Registro, notificações e responsabilidade da diretoria continuam sendo obrigações à parte, porém grande parte das medidas de segurança se sobrepõe aos controles da ISO/IEC 27001.
A consultoria é feita online?
Sim. Atendo empresas no Brasil e na Europa de forma remota, em português, italiano ou inglês. A primeira avaliação serve para entender o escopo e não gera compromisso.
Fontes: Diretiva (UE) 2022/2555, D.Lgs. italiano nº 138 de 04/09/2024 e determinações da ACN. Conteúdo informativo, não constitui parecer jurídico. Atualizado em novembro de 2026.
Segurança e conformidade em um só caminho
Vamos avaliar a sua situação na NIS2
Uma primeira conversa para entender se a NIS2 alcança sua empresa e quais são as prioridades.