← Voltar ao Blog

Checklist de Conformidade NIS2: 10 Passos para se Preparar Antes do Prazo

Um checklist prático de 10 passos para preparar sua organização para a conformidade NIS2 — desde escopo e avaliação de riscos até relatórios de incidentes e melhoria contínua.

---

Checklist de Conformidade NIS2: 10 Passos para se Preparar Antes do Prazo

A Diretiva NIS2 está reformulando as obrigações de cibersegurança em toda a Europa, e o relógio está correndo. Com os estados-membros transpondo a diretiva para leis nacionais e a fiscalização se aproximando, as organizações precisam de um roteiro claro e acionável para alcançar a conformidade.

Este checklist divide a preparação para a NIS2 em 10 passos concretos — cada um com ações específicas que você pode tomar hoje. Seja começando do zero ou construindo sobre um programa de segurança existente, este guia ajudará você a identificar lacunas e priorizar seus esforços.

Passo 1: Determine se Você Está no Escopo

Por que importa: A NIS2 expandiu drasticamente o número de organizações sujeitas a obrigações de cibersegurança. Se você assume que não está coberto, pode estar errado.

Ações:

• Verifique seu setor: A NIS2 cobre 18 setores em dois anexos. O Anexo I (entidades essenciais) inclui energia, transporte, bancos, saúde, infraestrutura digital e serviços de TIC. O Anexo II (entidades importantes) inclui serviços postais, gestão de resíduos, produtos químicos, alimentos, manufatura e provedores digitais
• Verifique seu porte: A diretiva se aplica a organizações de médio porte (50+ funcionários OU €10M+ de faturamento) e grandes organizações (250+ funcionários OU €50M+ de faturamento) em setores cobertos
• Verifique exceções: Alguns tipos de entidades são cobertos independentemente do tamanho — provedores DNS, registros TLD, redes públicas de comunicação e provedores de serviços de confiança
• Avalie exposição na cadeia de suprimentos: Mesmo que você não esteja diretamente no escopo, seus clientes em setores cobertos podem exigir segurança alinhada com a NIS2 de seus fornecedores

Como o KENSAI ajuda: A plataforma KENSAI é projetada para organizações no escopo da NIS2, fornecendo a gestão contínua de vulnerabilidades e relatórios que a diretiva exige. Começar com uma varredura gratuita oferece visibilidade imediata sobre sua postura de segurança atual.

Passo 2: Classifique o Tipo de sua Entidade

Por que importa: Entidades essenciais enfrentam supervisão mais rigorosa e penalidades mais altas do que entidades importantes. Sua classificação determina suas obrigações.

Ações:

• Entidades essenciais (setores do Anexo I, grandes organizações): Sujeitas a supervisão regulatória proativa, incluindo inspeções no local e auditorias regulares. Multas máximas de €10 milhões ou 2% do faturamento global
• Entidades importantes (setores do Anexo II, organizações médias): Sujeitas a supervisão reativa (após um incidente ou evidência de não conformidade). Multas máximas de €7 milhões ou 1,4% do faturamento global
• Documente sua classificação e o raciocínio por trás dela
• Revise a transposição nacional — alguns estados-membros podem aplicar critérios mais rigorosos. O NIS2UmsuCG da Alemanha, por exemplo, introduz categorias adicionais

Como o KENSAI ajuda: Os relatórios de conformidade do KENSAI mapeiam descobertas para os requisitos específicos aplicáveis à classificação de sua entidade, garantindo que suas evidências de segurança correspondam às suas obrigações.

Passo 3: Garanta Adesão e Responsabilidade da Gestão

Por que importa: O Artigo 20 da NIS2 torna os órgãos de gestão pessoalmente responsáveis pela cibersegurança. Isso não é uma sugestão — é uma exigência legal com implicações de responsabilidade pessoal.

Ações:

• Informe o conselho e a alta liderança sobre os requisitos da NIS2 e sua responsabilidade pessoal
• Designe um executivo responsável pela supervisão de cibersegurança (CISO, CTO ou equivalente)
• Estabeleça uma estrutura de governança onde a gestão aprove formalmente políticas de cibersegurança e revise avaliações de risco
• Agende treinamento obrigatório de cibersegurança para todos os membros do órgão de gestão — a NIS2 exige isso explicitamente
• Documente o envolvimento da gestão em decisões de cibersegurança para fins de auditoria
• Inclua cibersegurança como item permanente da pauta em reuniões do conselho

Como o KENSAI ajuda: O KENSAI fornece dashboards executivos e relatórios de tendências que dão à gestão a visibilidade necessária para cumprir suas responsabilidades de supervisão sem exigir experiência técnica profunda.

Passo 4: Realize uma Avaliação de Risco Abrangente

Por que importa: O Artigo 21 da NIS2 exige medidas técnicas e organizacionais "apropriadas e proporcionais" baseadas em uma avaliação de risco. Sem uma avaliação de risco documentada, você não pode demonstrar que suas medidas são proporcionais.

Ações:

• Identifique ativos críticos: Mapeie todos os sistemas de rede e informação que suportam seus serviços essenciais
• Avalie ameaças: Documente o cenário de ameaças relevante para seu setor e geografia (ransomware, ataques patrocinados por estados, comprometimento da cadeia de suprimentos, ameaças internas)
• Avalie vulnerabilidades: Conduza avaliações técnicas de vulnerabilidades de sua infraestrutura, aplicações e processos
• Determine impacto: Para cada risco identificado, avalie o impacto potencial na continuidade do serviço, integridade de dados e partes afetadas
• Calcule níveis de risco: Use uma metodologia consistente (probabilidade × impacto) para priorizar riscos
• Documente tudo: A avaliação de risco deve ser escrita, revisada e atualizada regularmente

Como o KENSAI ajuda: A varredura automática de vulnerabilidades do KENSAI fornece os dados técnicos de vulnerabilidade que sua avaliação de risco precisa. Em vez de depender de avaliações manuais pontuais, o KENSAI fornece inteligência contínua de vulnerabilidades que mantém sua avaliação de risco atualizada.

Passo 5: Mapeie sua Superfície de Ataque

Por que importa: A NIS2 exige medidas de segurança para seus sistemas de rede e informação. Você não pode proteger o que não sabe que existe.

Ações:

• Inventarie todos os ativos voltados para o exterior: Aplicações web, APIs, servidores de e-mail, endpoints VPN, serviços em nuvem, subdomínios
• Identifique TI invisível: Descubra serviços em nuvem não autorizados, ambientes de teste esquecidos e sistemas legados
• Mapeie conexões de terceiros: Documente todas as integrações externas, conexões de API e fluxos de dados com fornecedores e parceiros
• Avalie exposição na nuvem: Revise configurações de IaaS, PaaS e SaaS para configurações incorretas e permissões excessivas
• Documente suas descobertas: Mantenha um inventário vivo de sua superfície de ataque

Como o KENSAI ajuda: A descoberta de superfície de ataque do KENSAI identifica automaticamente seus ativos voltados para o exterior, incluindo subdomínios esquecidos e serviços expostos que os inventários internos perdem. Execute uma varredura gratuita para ver sua superfície de ataque da perspectiva de um atacante.

Passo 6: Implemente as 10 Medidas Mínimas de Segurança

Por que importa: O Artigo 21(2) da NIS2 lista dez categorias específicas de medidas de segurança que todas as entidades cobertas devem implementar. Estas não são opcionais.

Ações para cada medida:

a) Análise de risco e políticas de segurança da informação

• Desenvolva e documente uma política de segurança da informação
• Estabeleça uma estrutura de gestão de riscos com ciclos regulares de revisão

b) Tratamento de incidentes

• Crie um plano de resposta a incidentes com papéis, responsabilidades e procedimentos de escalação claros
• Implemente capacidades de detecção e monitoramento de incidentes
• Conduza simulações regulares de resposta a incidentes

c) Continuidade de negócios e gestão de crises

• Desenvolva planos de continuidade de negócios para serviços críticos
• Implemente e teste procedimentos de backup e recuperação de desastres
• Garanta que existam backups offline/imutáveis (crítico para resiliência contra ransomware)

d) Segurança da cadeia de suprimentos

• Avalie práticas de cibersegurança de fornecedores críticos
• Inclua requisitos de segurança em aquisições e contratos
• Monitore a segurança do fornecedor continuamente

e) Segurança em aquisição, desenvolvimento e manutenção

• Implemente práticas de desenvolvimento seguro (SDLC)
• Conduza tratamento de vulnerabilidades e testes de segurança regulares
• Estabeleça procedimentos de gestão de patches

f) Avaliação de eficácia

• Agende auditorias e avaliações de segurança regulares
• Implemente métricas e KPIs de segurança
• Revise e atualize medidas com base nos resultados de avaliação

g) Higiene cibernética e treinamento

• Implemente treinamento de conscientização de segurança para todos os funcionários
• Implemente programas de simulação de phishing
• Estabeleça padrões básicos de higiene cibernética (políticas de senha, mesa limpa, etc.)

h) Criptografia e cifragem

• Cifre dados em trânsito (TLS 1.2+ para todos os serviços)
• Cifre dados em repouso para informações sensíveis
• Gerencie chaves criptográficas de acordo com as melhores práticas

i) Segurança de recursos humanos e controle de acesso

• Implemente autenticação multifatorial para todos os sistemas críticos
• Aplique o princípio do menor privilégio
• Estabeleça processos de revisão de acesso

j) Comunicações seguras

• Implante canais de comunicação criptografados para discussões sensíveis
• Estabeleça procedimentos de comunicação de emergência que funcionem quando os sistemas primários estiverem comprometidos

Como o KENSAI ajuda: O KENSAI suporta diretamente as medidas (e), (f) e os aspectos de tratamento de vulnerabilidades de (a) e (d). A varredura automática contínua garante que você está atendendo aos requisitos de "testes regulares" e "tratamento de vulnerabilidades" com evidências verificáveis.

Passo 7: Estabeleça Capacidades de Relatório de Incidentes

Por que importa: A NIS2 introduz requisitos rigorosos de relatório de incidentes em várias etapas. Perder o prazo de alerta precoce de 24 horas pode resultar em penalidades independentes do incidente em si.

Ações:

• Defina critérios de "incidente significativo" para sua organização, alinhados com a definição da NIS2 (interrupção operacional grave, perda financeira ou dano considerável a terceiros)
• Implemente monitoramento 24/7 capaz de detectar incidentes significativos em tempo real — você não pode relatar o que não detectou
• Identifique seu CSIRT nacional e autoridade competente — saiba exatamente onde relatar e como
• Prepare modelos de relatório para cada etapa:
• Alerta precoce de 24 horas: Fatos básicos do incidente, se é suspeito de ser ilegal ou malicioso, impacto potencial transfronteiriço
• Notificação de 72 horas: Avaliação inicial, gravidade, impacto, indicadores de comprometimento
• Relatório final de 1 mês: Descrição detalhada, análise de causa raiz, medidas de mitigação, impacto transfronteiriço
• Designe e treine relatores de incidentes — garanta que vários membros da equipe possam enviar relatórios
• Pratique o processo de relatório — conduza exercícios de mesa que incluam a linha do tempo de relatórios

Como o KENSAI ajuda: O monitoramento contínuo do KENSAI significa que vulnerabilidades são detectadas e relatadas antes de se tornarem incidentes. Quando problemas são encontrados, os relatórios técnicos detalhados do KENSAI fornecem os indicadores de comprometimento e detalhes técnicos necessários para relatórios rápidos de incidentes.

Passo 8: Aborde a Segurança da Cadeia de Suprimentos

Por que importa: A NIS2 exige explicitamente que as organizações gerenciem riscos de cibersegurança em sua cadeia de suprimentos. A diretiva reconhece que muitas violações importantes se originam através de fornecedores confiáveis.

Ações:

• Identifique fornecedores críticos: Mapeie fornecedores com acesso a seus sistemas, dados ou rede
• Avalie a postura de segurança do fornecedor: Solicite certificações de segurança (ISO 27001, SOC 2), conduza questionários ou exija avaliações de terceiros
• Inclua requisitos de segurança em contratos: Defina padrões mínimos de segurança, obrigações de notificação de incidentes, direitos de auditoria e cláusulas de rescisão por falhas de segurança
• Monitore a segurança contínua do fornecedor: Não apenas avalie na integração — conduza revisões regulares
• Desenvolva procedimentos de resposta a incidentes do fornecedor: Saiba o que acontece quando um fornecedor é comprometido
• Diversifique dependências críticas: Evite pontos únicos de falha em sua cadeia de suprimentos

Como o KENSAI ajuda: O KENSAI pode varrer a infraestrutura voltada para o exterior de seus fornecedores (com permissão deles) para fornecer uma visão objetiva de sua postura de segurança. Isso fornece dados verificáveis em vez de depender apenas de questionários auto-relatados.

Passo 9: Documente Tudo para Prontidão de Auditoria

Por que importa: A supervisão da NIS2 inclui o poder de conduzir auditorias, inspeções e solicitações de evidências. Se você não pode demonstrar conformidade através de documentação, você não está em conformidade.

Ações:

• Mantenha um repositório de evidências de conformidade com todas as políticas, procedimentos, avaliações de risco e resultados de testes
• Mantenha registros de todos os incidentes de segurança e suas ações de resposta, independentemente de terem atingido o limite "significativo"
• Documente aprovações da gestão — cada aprovação de política, aceitação de risco e decisão orçamentária
• Arquive resultados de testes de segurança com carimbos de data/hora — varredura contínua fornece evidências mais fortes do que relatórios anuais
• Acompanhe conclusão de treinamento para toda a equipe, com atenção especial ao treinamento da gestão
• Registre avaliações da cadeia de suprimentos e cláusulas contratuais de segurança
• Mantenha logs de alterações para todas as políticas e procedimentos relacionados à segurança

Como o KENSAI ajuda: O KENSAI gera automaticamente relatórios de varredura com carimbo de data/hora, históricos de rastreamento de vulnerabilidades e cronogramas de remediação. Isso cria uma trilha de auditoria contínua que demonstra testes de segurança contínuos — muito mais convincente para reguladores do que um único relatório anual de pentest.

Passo 10: Implemente Melhoria Contínua

Por que importa: A NIS2 não é um exercício de checkbox único. A diretiva exige gestão de risco contínua e avaliação regular da eficácia das medidas. Os reguladores procurarão evidências de melhoria contínua, não conformidade estática.

Ações:

• Agende revisões de segurança trimestrais para avaliar a eficácia das medidas implementadas
• Acompanhe métricas de segurança ao longo do tempo: Contagens de vulnerabilidades, tempo médio de remediação, frequência de incidentes, taxas de conclusão de treinamento
• Atualize avaliações de risco quando o cenário de ameaças mudar, após incidentes significativos ou pelo menos anualmente
• Compare com estruturas: Use ISO 27001, NIST CSF ou CIS Controls como benchmarks de maturidade
• Participe de compartilhamento de informações: Junte-se a ISACs específicos do setor (Centros de Análise e Compartilhamento de Informações) e engaje-se com seu CSIRT nacional
• Revise e atualize este checklist — revisite seu status de conformidade NIS2 a cada trimestre
• Planeje para evolução regulatória: A NIS2 será revisada e potencialmente atualizada; construa flexibilidade em seu programa de segurança

Como o KENSAI ajuda: O modelo de varredura contínua do KENSAI está inerentemente alinhado com a melhoria contínua. Cada varredura se baseia em resultados anteriores, rastreando quais vulnerabilidades foram corrigidas, quais são novas e como sua postura de segurança geral evolui ao longo do tempo. A plataforma fornece as métricas e dados de tendências que demonstram melhoria para auditores e reguladores.

Sua Linha do Tempo de Conformidade NIS2

Aqui está uma linha do tempo realista para implementar este checklist:

Mês 1-2: Fase de Avaliação - Passos 1-2: Determinação de escopo e classificação - Passo 3: Briefing e adesão da gestão - Passo 4: Iniciar avaliação de risco - Passo 5: Mapeamento de superfície de ataque (comece com varredura gratuita do KENSAI)

Mês 3-4: Fase de Fundação - Passo 4: Completar avaliação de risco - Passo 6: Começar a implementar as 10 medidas mínimas (priorizar lacunas) - Passo 7: Estabelecer capacidades de relatório de incidentes

Mês 5-6: Fase de Implementação - Passo 6: Continuar implementação de medidas mínimas - Passo 8: Abordar segurança da cadeia de suprimentos - Passo 9: Configurar documentação e gestão de evidências

Mês 7+: Fase Contínua - Passo 10: Melhoria, monitoramento e avaliação contínuos - Revisões e atualizações regulares em todos os passos

Erros Comuns a Evitar

• Tratar a NIS2 como um projeto apenas de TI: Requer envolvimento da gestão e colaboração multifuncional
• Esperar pela transposição nacional: Os requisitos são claros; comece agora
• Depender excessivamente de certificações: ISO 27001 é uma base sólida, mas não equivale automaticamente à conformidade NIS2
• Negligenciar obrigações da cadeia de suprimentos: É aqui que muitas organizações serão pegas despreparadas
• Conformidade única: A NIS2 requer gestão de risco contínua, não exercícios anuais
• Ignorar o requisito de relatório de 24 horas: Isso requer capacidades de monitoramento, não apenas um documento de política

---

Comece com Visibilidade

Você não pode corrigir o que não pode ver. O primeiro passo para a conformidade NIS2 é entender sua postura de segurança atual.

👉 Obtenha sua varredura de segurança gratuita do KENSAI em kensai.app/free-scan — mapeie sua superfície de ataque e identifique vulnerabilidades em minutos.