NIS2 Portugal

Descrição:

Introdução de uma nova categoria regulamentar para empresas de média capitalização mais pequenas, com requisitos de conformidade adaptados à sua dimensão e complexidade operacional.

Critérios de elegibilidade:

• Menos de 750 colaboradores
• Volume de negócios anual inferior a 150 milhões de euros

Benefício:

Esta nova categoria reduz significativamente os custos de conformidade para cerca de 22.500 empresas na União Europeia, com requisitos simplificados face às mid-caps de pleno direito e permitindo-lhes cumprir a NIS2 com procedimentos menos onerosos.

Descrição:

Criação de uma plataforma única da ENISA para notificação de incidentes de cibersegurança, unificando os requisitos de múltiplas regulamentações europeias num só portal centralizado.

Benefício:

Elimina a necessidade de reportar o mesmo incidente a múltiplas autoridades através de sistemas diferentes. O SEP unifica a notificação de incidentes para:

• NIS2 (Diretiva de Cibersegurança)
• GDPR (Proteção de Dados Pessoais)
• DORA (Resiliência Operacional Digital Financeira)
• CER (Resiliência de Entidades Críticas)
• eIDAS (Identificação Eletrónica e Serviços de Confiança)

Descrição:

Clarificação e simplificação das regras que determinam qual a autoridade competente responsável quando uma entidade opera em múltiplos Estados-Membros da União Europeia.

Benefício:

Reduz ambiguidade e conflitos de jurisdição, facilitando a vida às empresas multinacionais. Define critérios claros para determinar:

• Qual a autoridade nacional que supervisiona a entidade
• Como funcionam os mecanismos de coordenação transfronteiriça
• Regras de "one-stop-shop" para empresas com operações pan-europeias
• Procedimentos de resolução de conflitos de jurisdição

Descrição:

A Agência da União Europeia para a Cibersegurança (ENISA) terá um papel mais forte na coordenação de entidades que operam transfronteiras e na gestão do Single Entry Point.

Novas responsabilidades específicas:

• Supervisão cross-border de entidades que operam em múltiplos Estados-Membros
• Framework de análise de risco a concluir nos primeiros 15 meses após entrada em vigor
• Gestão do Single Entry Point (SEP) para notificações unificadas
• Coordenadora entre autoridades nacionais competentes
• Facilitadora de partilha de threat intelligence
• Provedora de orientações técnicas harmonizadas

Novas regras detalhadas para reporte de ataques de ransomware, que vão além dos requisitos de notificação já previstos na NIS2 atual:

• Vetor de ataque utilizado
• Se o resgate foi pedido e o montante exigido
• Se o resgate foi pago e o valor efetivamente pago
• Método de pagamento utilizado (criptomoeda, etc.)

Onde a Comissão Europeia adoptar atos de execução (implementing acts), os Estados-Membros não podem adicionar requisitos nacionais extra.

Objetivo: prevenir a fragmentação regulatória e simplificar a conformidade para organizações que operam em múltiplos países.

A ENISA terá responsabilidades acrescidas de supervisão e coordenação a nível europeu:

• Supervisão cross-border de entidades transfronteiriças
• Framework de análise de risco a concluir em 15 meses após entrada em vigor
• Gestão do Single Entry Point (SEP) para notificações unificadas

Novos requisitos de segurança para toda a cadeia de fornecimento de tecnologias de informação e comunicação, incluindo hardware e software.

Complementa a NIS2 ao abordar a segurança dos produtos e serviços ICT utilizados pelas entidades essenciais e importantes.

Esquemas de certificação de cibersegurança mais robustos a nível europeu, com reconhecimento mútuo entre Estados-Membros.

Baseia-se no quadro de certificação europeu de cibersegurança já existente e expande a sua abrangência e aplicabilidade.

Nova modalidade de certificação ao nível da entidade (não apenas ao nível do produto), permitindo às organizações certificar a sua postura global de cibersegurança.

As organizações poderão obter certificação pelo seu nível global de cibersegurança, complementando a certificação de produtos e serviços já existente.