AET Europe Explica a Relevância da Diretiva da UE NIS2 – Network And Information Systems 2 – Para a Cibersegurança em Setores Críticos

Assim como já aconteceu anteriormente com a GDPR (General Data Protection Regulation – Regulamento Geral sobre a Proteção de Dados), que estabeleceu um novo patamar para a privacidade e proteção de dados pessoais em todo o mundo, a NIS2 (Network and Information Security Directive – Diretiva de Redes e Sistemas de Informação) surge para redefinir os requisitos de segurança cibernética em setores críticos.

Ambas as normas transcendem fronteiras, influenciando legislações e práticas fora do espaço europeu, e servem como referência para regulamentações em outros países, inclusive no Brasil.

Reforçar a segurança cibernética no cenário mundial, principalmente em setores críticos, é mais do que um exercício de conformidade com requisitos. É uma oportunidade de construir confiança com stakeholders e impulsionar negócios da forma mais rápida e inovadora possível. É esse tema é abordado no artigo original de autoria da AET Europe.

A AET Europe – aeteurope.com – líder global em segurança digital, especializada em criar soluções seguras para identificação, autenticação, assinatura digital, consentimento e gerenciamento de credenciais. Fundada em 1998, a empresa fornece soluções para identificação de usuários, autenticação e assinaturas digitais, sendo reconhecida por sua expertise em Infraestrutura de Chaves Públicas (PKI). Você pode encontrar o artigo original no link a seguir: I Operate in the EU. How Does NIS2 Affect Me, and Why Act Now?.

Como o NIS2 me afeta e por que agir agora?

Apesar de o artigo tratar de uma Diretiva Europeia, o tema é extremamente relevante para o cenário brasileiro. Isso porque muitas empresas no Brasil precisam atender a Diretiva Europeia NIS2[i], e nossa base de requisitos técnicos e jurídicos para a segurança digital segue a diretiva europeia eIDAS. O eIDAS (Electronic Identification and Trust Services for Electronic Transactions in the Internal Market Regulation) estabelece o quadro regulamentar comum para identificação eletrônica e serviços de confiança para transações eletrônicas dentro da União Europeia. Você pode consultar mais detalhes sobre o eIDAS aqui no Crypto ID com a redação original em português de Portugal.

Vale ressaltar que todo o arcabouço jurídico brasileiro relacionado a documentos eletrônicos e assinaturas digitais fundamenta nossa legislação e assegura a validade, a autenticidade e a segurança dessas operações no país, alinha-se com as melhores práticas internacionais.

Parece que todo mundo está falando sobre o NIS2 ultimamente, e com razão

A Diretiva de Redes e Sistemas de Informação 2 — comumente chamada de NIS2 — representa a legislação de segurança cibernética mais abrangente que a União Europeia já viu. Descrita como NIS1 turbinada, a NIS2 tem como objetivo estabelecer um conjunto básico de medidas de segurança cibernética para organizações que prestam serviços “essenciais” e “importantes” para a economia da UE. 

Trinta e cinco setores fazem parte do escopo da NIS2

Além dos setores tradicionais, como transporte, saúde, energia e serviços financeiros, a NIS2 também contempla provedores de computação em nuvem, data centers, saneamento, indústria química e muitos outros segmentos. A conformidade é obrigatória tanto para os organismos da administração pública como para as organizações privadas que prestam serviços essenciais à UE, independentemente da sua localização geográfica. 

No futuro, pode-se presumir que qualquer entidade que concorra para ser fornecedora desses setores também terá que demonstrar sua conformidade com o NIS2.

A abrangência da NIS2 é ampla

Para organizações com pouco tempo e recursos limitados, é tentador ver o NIS2 como (mais um) exercício de conformidade dispendioso e você pode se sentir tentado a adiá-lo. Cada Estado-Membro da Enião Europeia precisa converter esta diretiva em sua própria legislação e, até que isso aconteça, não sabemos como será a legislação local ou como ela será aplicada.

A NIS2 não é apenas um exercício de conformidade

Mas é miopia pensar no NIS2 apenas como um exercício de conformidade. 

Na realidade, o NIS2 representa uma oportunidade de ouro para garantir a confiança digital em tudo o que você faz e desbloquear novas camadas de serviço para o seu negócio.

Por que o NIS2 foi introduzido? 

O NIS2 é uma resposta às crescentes ameaças cibernéticas representadas pela digitalização, IA e outras tecnologias revolucionárias. Os incidentes aumentaram desde a pandemia de COVID-19 e o início da guerra na Ucrânia. Criminosos estão usando métodos cada vez mais sofisticados para atacar um conjunto mais amplo de alvos — muitas vezes em busca de um ponto de entrada vulnerável nas cadeias de suprimentos de TI.

No entanto, de acordo com a ENISA, a Agência da União Europeia para a Cibersegurança, as organizações europeias destinam 41% menos à cibersegurança do que as suas congéneres norte-americanas — daí a necessidade de impulsionar os investimentos nesta área. 

A Diretiva NIS2 exige níveis comuns de segurança muito mais elevados nos setores críticos do que sua antecessora, a NIS1. Isso inclui medidas para reforçar a segurança das cadeias de suprimentos, simplificar as obrigações de comunicação e implementar supervisão e resposta à crises mais rigorosas.

O foco em infraestruturas críticas reconhece seu papel indispensável na sociedade. Uma falha no setor energético, por exemplo, poderia provocar distúrbios civis, prejudicar a economia e colocar vidas em risco direto.

Por que a conformidade com o NIS2 deve ser uma prioridade?

O “peso da lei” sempre presente.

As organizações podem esperar multas cada vez maiores e/ou a revogação de suas licenças de operação caso não cumpram o NIS2, dependendo de como ele for aplicado na legislação nacional.

Mas, para além da obrigatoriedade legal, colocar o NIS2 em prática significa promover um ambiente digital mais seguro e confiável, fortalecendo relações com clientes, parceiros e fornecedores.

A Diretiva estabelece as bases tecnológicas para uma oportunidade muito maior: a confiança digital

A confiança digital é a fé de que estamos interagindo online com pessoas e organizações genuínas, em vez de fraudadores, bots e deep fakes. É a certeza inabalável de que os sistemas e tecnologias em que confiamos são seguros, privados e confiáveis, seja pedindo ao nosso banco que forneça comprovante de renda a um correntista ou transmitindo dados de consumo de energia por meio de um medidor inteligente.

Identidade e cadeia de custódia são essenciais para construir confiança em seus ativos digitais. Se seus stakeholders não tiverem certeza de que estão interagindo com você, e não com um fraudador, não poderão confiar em nada mais que aconteça posteriormente.

Assim como os policiais precisam verificar a integridade das evidências desde a coleta até o julgamento, os dados também devem ser tratados com cuidado, indo do ponto A ao ponto B de forma legítima, transparente e comprovável.

Embora a confiança seja uma ideia abstrata, o Fórum Econômico Mundial a chama de “oportunidade de um trilhão de dólares para nossa economia global”. Uma pesquisa da McKinsey mostra que as empresas que mais se esforçam para estabelecer a confiança digital têm 1,6 vezes mais probabilidade do que a média global de apresentar taxas de crescimento de receita e EBIT de pelo menos 10%.

Em outras palavras, a confiança é o elemento “extra” que se soma à segurança na cadeia de valor. Ela permite que você lance novos serviços no mercado e garanta uma vantagem competitiva, crescimento mais rápido e receitas mais altas — e tudo começa com o NIS2.

Aonde a lei vai, a tecnologia segue

Legislação geralmente não é algo entusiasmante. Mas, especialmente na União Europeia, onde as transações transfronteiriças são comuns e necessárias, não se pode inovar isoladamente. É necessário um arcabouço legal para estabelecer a base de segurança necessária para as interações digitais. Caso contrário, você não terá confiança para compartilhar dados com parceiros digitalmente seguros e poderá expor seus stakeholders à riscos.

É aqui que o NIS2 se destaca. Ele torna a segurança adequada à sua finalidade, permitindo o suporte às inovações baseadas em confiança do futuro. Uma maneira de fazer isso é exigindo Zero Trust – Confiança Zero- como medida de segurança essencial em todas as entidades abrangidas. 

A Infraestrutura de Chaves Públicas (PKI) e o gerenciamento de certificados serão especialmente importantes para as organizações implementarem o NIS2 corretamente e construir a confiança digital.

A PKI é uma forma comprovada de autenticar identidades digitais para diversos casos de uso. Ela aumenta a confiança porque fornece um sistema e uma infraestrutura para proteger as identidades de usuários e dispositivos, garantir a integridade dos dados e confirmar a autenticidade dos dados de ponta a ponta.

É fácil entender isso no contexto da segurança cibernética, mas é mais difícil imaginar o vasto potencial para empresas e sociedade. 

Para ajudar você a visualizar isso, considere os seguintes casos de uso. Eles são possíveis graças às tecnologias de confiança digital que já estão ao nosso alcance:

Promovendo a integridade tributária no Brasil

A legislação do estado de São Paulo, Brasil, obriga os varejistas a repassar o imposto arrecadado em cada compra no varejo diretamente à SEFAZ-SP. Como você pode imaginar, qualquer vulnerabilidade nesse processo deixa os varejistas expostos, sem comprovação sólida de que o valor correto do imposto foi recolhido e repassado à autoridade competente, no momento certo.

Para agregar confiança ao sistema, a AET Europe implementou uma solução de IoT que conecta terminais de ponto de venda a identidades digitais. É uma solução única que protege consumidores, varejistas e a Receita Federal de São Paulo: mesmo que as remessas de impostos sejam perdidas, adulteradas ou roubadas, varejistas e consumidores terão um registro completo do pagamento, a confirmação de sua veracidade e a capacidade de comprovar total conformidade. Isso é confiança!

Melhorar o acesso aos serviços governamentais na Sérvia

A Sérvia tem sido tradicionalmente uma sociedade baseada em papel, dependendo da transferência física de formulários de um município para outro. Isso frequentemente resultava na exclusão de cidadãos de benefícios sociais básicos devido à perda, atraso ou esquecimento de documentos. Por exemplo, um agricultor pode não ter conhecimento da disponibilidade de subsídios urgentes porque não havia transparência no sistema.

Para melhorar o acesso aos serviços governamentais, a AET Europe implementou identidades digitais que permitem a interação entre cidadãos e entidades governamentais. Agora, o mesmo agricultor pode receber uma mensagem em seu celular informando sobre sua elegibilidade para solicitar um determinado subsídio ou auxílio, com base em sua identidade segura (por exemplo, dados de localização, ocupação e renda). Essa identidade digital é utilizada durante o processo de solicitação, aprovação e verificação, melhorando a transparência e o acesso aos serviços.

Vantagem competitiva para empresas

Mais especificamente, considere o processo de realização de verificações de identidade ao integrar funcionários, fornecedores e parceiros de fora da UE. As empresas realizam essas verificações rotineiramente e, na maioria das vezes, é uma tarefa única. E se você pudesse comprovar a validade das verificações não apenas para o processo em si, mas para cada uso posterior de cada verificação de identidade, seja com autoridades fiscais, seguradoras ou qualquer outra pessoa que precise saber se a pessoa é quem afirma ser?

Nesse cenário, uma arquitetura de confiança digital que eliminasse atritos eliminaria também a necessidade de manter uma reserva de segurança em seus balanços, em caso de erro. Esse dinheiro poderia ser melhor utilizado por uma empresa, em projetos de mais valor agregado. Essa empresa também estaria posicionada para superar concorrentes que não conseguem contratar tão rapidamente ou não oferecem uma experiência de alta qualidade.

O que as organizações podem fazer agora?

Sob a ótica da confiança, fica claro que a preparação para o NIS2 não é uma questão de conformidade. É uma oportunidade de construir a infraestrutura de segurança transformadora que permitirá lançar e operar serviços digitais altamente confiáveis.

Atualmente, as organizações enfrentam a complexa tarefa de avaliar as infraestruturas atuais, selecionar a tecnologia certa, atender aos requisitos legais e envolver os funcionários no processo de implementação. É uma tarefa desafiadora, então certifique-se de que seu foco esteja correto.

Comece com o que você pode alcançar em termos de competitividade, relacionamento com stakeholders, lucratividade e abertura à novos modelos de negócios. Forme uma equipe com um parceiro de confiança. Basei suas decisões e conversas na confiança e use isso para definir prioridades e orientar seus investimentos.

Pode levar dois ou três anos até que a Diretiva NIS2 entre em vigor na legislação holandesa e em outros países da União Europeia,por isso você ainda tem algum tempo. Todos se beneficiaram se você a usar proativamente!

Nota Crypto ID

Em suma, reforçar a segurança cibernética não deve ser encarado apenas como cumprimento de exigências normativas, mas sim como uma oportunidade estratégica para fortalecer a confiança com todos os stakeholders e potencializar o crescimento sustentável dos negócios. Ao adotar práticas alinhadas à NIS2 e às melhores referências internacionais, organizações antecipam riscos, consolidam sua reputação e se destacam em um ambiente digital cada vez mais competitivo.

Leia o artigo da AET Europe original I Operate in the EU. How Does NIS2 Affect Me, and Why Act Now?.

 A sigla NIS2 significa “Network and Information Systems 2”, que em português se traduz como “Redes e Sistemas de Informação 2” que representa a legislação de segurança cibernética mais abrangente da União Europeia.

AET Europe é líder global na área de soluções de segurança digital.

Fundada em 1998, é especializa na criação de soluções seguras em identificação, autenticação, assinatura digital, consentimento e gerenciamento de credencial. Fornecemos soluções de segurança para identificação de usuários, autenticação e assinaturas digitais. Outras informações https://aeteurope.com

Fonte: Crypto ID.