Fornecedores de segurança, EDR e inteligência de ameaças

• Directive (EU) 2022/2555 — NIS2
• Regulation (EU) 2016/679 — GDPR, Article 27
• Regulation (EU) 2024/2847 — Cyber Resilience Act
• Regulation (EU) 2019/881 — Cybersecurity Act certification

Quem tem de designar

Fornecedores de segurança fora da União que atendem clientes da UE. Provedores de serviços de segurança gerenciados estão explicitamente listados no NIS2, portanto, a obrigação de representação surge tanto sob o NIS2 quanto sob o GDPR, e o software de segurança colocado no mercado se enquadra no CRA.

Limiares e isenções

O NIS2 se aplica geralmente a entidades com pelo menos 50 funcionários ou €10 milhões de faturamento, mas os provedores de serviços de segurança gerenciados estão cobertos em várias implementações, independentemente do tamanho, dada sua criticidade.

O que deve constar do rótulo

Não físico. Publicação dos detalhes de registro do NIS2 e do ponto de contato de vulnerabilidade do CRA, e o representante do GDPR no aviso de privacidade.

Campos nos marketplaces

Compradores empresariais e públicos solicitam registro no NIS2, termos contratuais compatíveis com o DORA onde o cliente é uma entidade financeira, e cada vez mais uma certificação europeia de cibersegurança sob os esquemas da Lei de Cibersegurança.

Documentação a conservar

Medidas de gestão de risco do NIS2, procedimentos de manuseio de incidentes, política de segurança da cadeia de suprimentos e registro. Registros do Artigo 30 cobrindo telemetria, que para produtos de segurança é extensa e sensível. A designação do Artigo 27. Documentação técnica do CRA, SBOM e manuseio de vulnerabilidades para produtos.

Normas e ensaios

Testes de penetração e, para entidades essenciais, auditorias impostas pela autoridade competente. Certificação sob um esquema europeu onde o cliente exigir.

Requisitos linguísticos

Relatórios de incidentes na língua aceita pelo CSIRT, e documentação do cliente na língua do mercado.

A partir de quando

Relatórios do NIS2 dentro de 24 horas, 72 horas e um mês. Relatórios de vulnerabilidade do CRA a partir de 11 de setembro de 2026 e o regime completo a partir de 11 de dezembro de 2027.

Prazo de conservação

Registros de incidentes por NIS2, telemetria apenas enquanto necessário para o propósito de segurança, que é o ponto mais frequentemente contestado.

Em caso de incumprimento

Multas do NIS2 de até €10 milhões ou 2% para entidades essenciais com responsabilidade de gestão, multas do GDPR de até 4%, e multas do CRA de até €15 milhões ou 2,5%.

Quem fiscaliza

Autoridades competentes do NIS2 e CSIRTs, autoridades de proteção de dados e vigilância de mercado para os produtos.

Onde está a fronteira

A telemetria de segurança é dado pessoal em escala: agentes de endpoint coletam nomes de processos, caminhos de arquivos, URLs e identificadores de usuários, e a análise de interesse legítimo deve ser documentada em vez de presumida. Uma vulnerabilidade em seu próprio agente é reportável sob o CRA como qualquer outro produto.

Perguntas frequentes

Estamos dentro do escopo do NIS2 como fornecedor de segurança?

Provedores de serviços de segurança gerenciados estão listados explicitamente, e provedores de serviços em nuvem e gerenciados separadamente. Limites de tamanho se aplicam, mas vários estados membros os estendem para fornecedores críticos.

Nosso produto precisa de conformidade com o CRA?

Software de segurança colocado no mercado da UE é um produto com elementos digitais, então sim, incluindo relatórios de vulnerabilidade a partir de setembro de 2026.