NIS2 — entidades essenciais e importantes

• Directive (EU) 2022/2555 — NIS2, Art. 26

Quem tem de designar

Provedores de DNS, registros de TLD, serviços de computação em nuvem e centros de dados, CDNs, provedores de serviços gerenciados e provedores de serviços de segurança gerenciados, marketplaces online, motores de busca e plataformas sociais que não estão estabelecidas na União, mas oferecem serviços nela.

Limiares e isenções

Geralmente entidades com 50 ou mais funcionários ou €10 milhões de faturamento, mas alguns provedores de infraestrutura digital estão cobertos independentemente do tamanho.

O que deve constar do rótulo

Não é uma obrigação de rotulagem. A entidade deve estar registrada na autoridade do estado membro onde o representante está estabelecido.

Campos nos marketplaces

Não aplicável, mas a aquisição empresarial agora costuma perguntar se o fornecedor está registrado no NIS2.

Documentação a conservar

Medidas de gestão de risco, procedimentos de tratamento de incidentes, política de segurança da cadeia de suprimentos, plano de continuidade de negócios e o registro de registro.

Normas e ensaios

Não aplicável, embora auditorias possam ser impostas a entidades essenciais.

Requisitos linguísticos

Relato na língua aceita pelo CSIRT em questão.

A partir de quando

Aviso prévio dentro de 24 horas de um incidente significativo, notificação de incidente dentro de 72 horas e um relatório final dentro de um mês.

Prazo de conservação

Pela duração do registro.

Em caso de incumprimento

Até €10 milhões ou 2% do faturamento mundial para entidades essenciais, e a gestão pode ser responsabilizada pessoalmente em vários estados membros.

Quem fiscaliza

Autoridades competentes nacionais e CSIRTs.

Onde está a fronteira

Os relatórios NIS2 e os relatórios do Artigo 14 do CRA são obrigações separadas com diferentes gatilhos: NIS2 trata de incidentes que afetam seu serviço, CRA trata de vulnerabilidades em seu produto.

Perguntas frequentes

Somos uma pequena SaaS com clientes da UE — estamos dentro do escopo?

Apenas se você se enquadrar em um dos setores listados e atender aos critérios de tamanho, ou se você for um provedor de infraestrutura digital coberto independentemente do tamanho.