← Voltar ao Blog

Lista de Verificação de Conformidade NIS2: 10 Passos para se Preparar Antes do Prazo

Uma lista de verificação prática com 10 passos para preparar sua organização para a conformidade NIS2 — desde escopo e avaliação de risco até relatórios de incidentes e melhoria contínua.

---

Lista de Verificação de Conformidade NIS2: 10 Passos para se Preparar Antes do Prazo

A Diretiva NIS2 está remodelando as obrigações de cibersegurança em toda a Europa, e o relógio está correndo. Com os estados-membros transpondo a diretiva para a legislação nacional e a aplicação se aproximando, as organizações precisam de um roteiro claro e acionável para alcançar a conformidade.

Esta lista de verificação divide a preparação para NIS2 em 10 passos concretos — cada um com ações específicas que você pode tomar hoje. Seja você iniciante ou construindo sobre um programa de segurança existente, este guia ajudará você a identificar lacunas e priorizar seus esforços.

Passo 1: Determine se Você Está no Escopo

Por que é importante: A NIS2 expandiu drasticamente o número de organizações sujeitas a obrigações de cibersegurança. Se você assume que não está coberto, pode estar errado.

Ações:

• Verifique seu setor: A NIS2 cobre 18 setores em dois anexos. O Anexo I (entidades essenciais) inclui energia, transporte, bancos, saúde, infraestrutura digital e serviços TIC. O Anexo II (entidades importantes) inclui serviços postais, gestão de resíduos, químicos, alimentos, manufatura e provedores digitais
• Verifique seu tamanho: A diretiva se aplica a organizações de médio porte (50+ funcionários OU faturamento de €10M+) e grandes organizações (250+ funcionários OU faturamento de €50M+) em setores cobertos
• Verifique exceções: Alguns tipos de entidades são cobertos independentemente do tamanho — provedores DNS, registros TLD, redes de comunicação pública e provedores de serviços de confiança
• Avalie exposição na cadeia de suprimentos: Mesmo se você não estiver diretamente no escopo, seus clientes em setores cobertos podem exigir segurança alinhada à NIS2 de seus fornecedores

Como o KENSAI ajuda: A plataforma KENSAI foi projetada para organizações no escopo da NIS2, fornecendo o gerenciamento contínuo de vulnerabilidades e relatórios que a diretiva exige. Começar com um scan gratuito oferece visibilidade imediata da sua postura de segurança atual.

Passo 2: Classifique Seu Tipo de Entidade

Por que é importante: Entidades essenciais enfrentam supervisão mais rigorosa e penalidades mais altas do que entidades importantes. Sua classificação determina suas obrigações.

Ações:

• Entidades essenciais (setores Anexo I, grandes organizações): Sujeitas a supervisão regulatória proativa, incluindo inspeções no local e auditorias regulares. Multas máximas de €10 milhões ou 2% do faturamento global anual
• Entidades importantes (setores Anexo II, organizações médias): Sujeitas a supervisão reativa (após um incidente ou evidência de não conformidade). Multas máximas de €7 milhões ou 1,4% do faturamento global anual
• Documente sua classificação e o raciocínio por trás dela
• Revise a transposição nacional — alguns estados-membros podem aplicar critérios mais rigorosos. O NIS2UmsuCG da Alemanha, por exemplo, introduz categorias adicionais

Como o KENSAI ajuda: Os relatórios de conformidade do KENSAI mapeiam descobertas para os requisitos específicos aplicáveis à sua classificação de entidade, garantindo que sua evidência de segurança corresponda às suas obrigações.

Passo 3: Garanta Apoio e Responsabilidade da Gestão

Por que é importante: O Artigo 20 da NIS2 torna os órgãos de gestão pessoalmente responsáveis pela cibersegurança. Isso não é uma sugestão — é um requisito legal com implicações de responsabilidade pessoal.

Ações:

• Informe o conselho e a C-suite sobre os requisitos da NIS2 e sua responsabilidade pessoal
• Designe um executivo responsável pela supervisão de cibersegurança (CISO, CTO ou equivalente)
• Estabeleça uma estrutura de governança onde a gestão aprove formalmente políticas de cibersegurança e revise avaliações de risco
• Agende treinamento obrigatório de cibersegurança para todos os membros do órgão de gestão — a NIS2 exige explicitamente isso
• Documente o envolvimento da gestão em decisões de cibersegurança para fins de auditoria
• Inclua cibersegurança como item permanente da agenda nas reuniões do conselho

Como o KENSAI ajuda: O KENSAI fornece painéis executivos e relatórios de tendências que dão à gestão a visibilidade necessária para cumprir suas responsabilidades de supervisão sem exigir profunda expertise técnica.

Passo 4: Conduza uma Avaliação de Risco Abrangente

Por que é importante: O Artigo 21 da NIS2 requer medidas técnicas e organizacionais "apropriadas e proporcionais" baseadas em uma avaliação de risco. Sem uma avaliação de risco documentada, você não pode demonstrar que suas medidas são proporcionais.

Ações:

• Identifique ativos críticos: Mapeie todos os sistemas de rede e informação que suportam seus serviços essenciais
• Avalie ameaças: Documente o cenário de ameaças relevante para seu setor e geografia (ransomware, ataques patrocinados por estados, comprometimento da cadeia de suprimentos, ameaças internas)
• Avalie vulnerabilidades: Conduza avaliações técnicas de vulnerabilidades de sua infraestrutura, aplicações e processos
• Determine impacto: Para cada risco identificado, avalie o impacto potencial na continuidade do serviço, integridade dos dados e partes afetadas
• Calcule níveis de risco: Use uma metodologia consistente (probabilidade × impacto) para priorizar riscos
• Documente tudo: A avaliação de risco deve ser escrita, revisada e atualizada regularmente

Como o KENSAI ajuda: O scanning automatizado de vulnerabilidades do KENSAI fornece os dados de vulnerabilidade técnica que sua avaliação de risco precisa. Em vez de confiar em avaliações manuais pontuais, o KENSAI entrega inteligência contínua de vulnerabilidades que mantém sua avaliação de risco atualizada.

Passo 5: Mapeie Sua Superfície de Ataque

Por que é importante: A NIS2 requer medidas de segurança para seus sistemas de rede e informação. Você não pode proteger o que não sabe que existe.

Ações:

• Inventarie todos os ativos externos: Aplicações web, APIs, servidores de e-mail, endpoints VPN, serviços em nuvem, subdomínios
• Identifique shadow IT: Descubra serviços em nuvem não autorizados, ambientes de teste esquecidos e sistemas legados
• Mapeie conexões de terceiros: Documente todas as integrações externas, conexões API e fluxos de dados com fornecedores e parceiros
• Avalie exposição em nuvem: Revise configurações IaaS, PaaS e SaaS para configurações incorretas e permissões excessivas
• Documente suas descobertas: Mantenha um inventário vivo de sua superfície de ataque

Como o KENSAI ajuda: A descoberta de superfície de ataque do KENSAI identifica automaticamente seus ativos externos, incluindo subdomínios esquecidos e serviços expostos que inventários internos não detectam. Execute um scan gratuito para ver sua superfície de ataque da perspectiva de um atacante.

Passo 6: Implemente as 10 Medidas de Segurança Mínimas

Por que é importante: O Artigo 21(2) da NIS2 lista dez categorias específicas de medidas de segurança que todas as entidades cobertas devem implementar. Estas não são opcionais.

Ações para cada medida:

a) Análise de risco e políticas de segurança da informação

• Desenvolver e documentar uma política de segurança da informação
• Estabelecer um framework de gestão de risco com ciclos de revisão regulares

b) Tratamento de incidentes

• Criar um plano de resposta a incidentes com papéis, responsabilidades e procedimentos de escalação claros
• Implementar capacidades de detecção e monitoramento de incidentes
• Conduzir exercícios regulares de resposta a incidentes

c) Continuidade de negócios e gestão de crises

• Desenvolver planos de continuidade de negócios para serviços críticos
• Implementar e testar procedimentos de backup e recuperação de desastres
• Garantir que existam backups offline/imutáveis (crítico para resiliência a ransomware)

d) Segurança da cadeia de suprimentos

• Avaliar práticas de cibersegurança de fornecedores críticos
• Incluir requisitos de segurança em aquisições e contratos
• Monitorar segurança de fornecedores de forma contínua

e) Segurança em aquisição, desenvolvimento e manutenção

• Implementar práticas de desenvolvimento seguro (SDLC)
• Conduzir tratamento de vulnerabilidades e testes de segurança regulares
• Estabelecer procedimentos de gestão de patches

f) Avaliação de eficácia

• Agendar auditorias e avaliações de segurança regulares
• Implementar métricas e KPIs de segurança
• Revisar e atualizar medidas com base nos resultados das avaliações

g) Higiene cibernética e treinamento

• Implementar treinamento de conscientização de segurança para todos os funcionários
• Implementar programas de simulação de phishing
• Estabelecer padrões básicos de higiene cibernética (políticas de senha, mesa limpa, etc.)

h) Criptografia e encriptação

• Criptografar dados em trânsito (TLS 1.2+ para todos os serviços)
• Criptografar dados em repouso para informações sensíveis
• Gerenciar chaves criptográficas de acordo com as melhores práticas

i) Segurança de recursos humanos e controle de acesso

• Implementar autenticação multifator para todos os sistemas críticos
• Aplicar o princípio do menor privilégio
• Estabelecer processos de revisão de acesso

j) Comunicações seguras

• Implementar canais de comunicação criptografados para discussões sensíveis
• Estabelecer procedimentos de comunicação de emergência que funcionem quando os sistemas primários estão comprometidos

Como o KENSAI ajuda: O KENSAI suporta diretamente as medidas (e), (f) e os aspectos de tratamento de vulnerabilidades de (a) e (d). O scanning automatizado contínuo garante que você esteja atendendo aos requisitos de "testes regulares" e "tratamento de vulnerabilidades" com evidência verificável.

Passo 7: Estabeleça Capacidades de Relatório de Incidentes

Por que é importante: A NIS2 introduz requisitos rigorosos de relatório de incidentes em várias etapas. Perder o prazo de alerta precoce de 24 horas pode resultar em penalidades independentes do incidente em si.

Ações:

• Defina critérios de "incidente significativo" para sua organização, alinhados com a definição da NIS2 (interrupção operacional grave, perda financeira ou dano considerável a outros)
• Implemente monitoramento 24/7 capaz de detectar incidentes significativos em tempo real — você não pode relatar o que não detectou
• Identifique seu CSIRT nacional e autoridade competente — saiba exatamente onde e como relatar
• Prepare templates de relatório para cada etapa:
• Alerta precoce de 24 horas: Fatos básicos do incidente, se é suspeito de ser ilegal ou malicioso, impacto potencial transfronteiriço
• Notificação de 72 horas: Avaliação inicial, gravidade, impacto, indicadores de comprometimento
• Relatório final de 1 mês: Descrição detalhada, análise de causa raiz, medidas de mitigação, impacto transfronteiriço
• Designe e treine relatores de incidentes — garanta que vários membros da equipe possam enviar relatórios
• Pratique o processo de relatório — conduza exercícios de mesa que incluam o cronograma de relatório

Como o KENSAI ajuda: O monitoramento contínuo do KENSAI significa que vulnerabilidades são detectadas e relatadas antes de se tornarem incidentes. Quando problemas são encontrados, os relatórios técnicos detalhados do KENSAI fornecem os indicadores de comprometimento e detalhes técnicos necessários para relatório rápido de incidentes.

Passo 8: Aborde a Segurança da Cadeia de Suprimentos

Por que é importante: A NIS2 exige explicitamente que organizações gerenciem riscos de cibersegurança em sua cadeia de suprimentos. A diretiva reconhece que muitas violações importantes se originam através de fornecedores confiáveis.

Ações:

• Identifique fornecedores críticos: Mapeie fornecedores com acesso aos seus sistemas, dados ou rede
• Avalie a postura de segurança do fornecedor: Solicite certificações de segurança (ISO 27001, SOC 2), conduza questionários ou exija avaliações de terceiros
• Inclua requisitos de segurança em contratos: Defina padrões mínimos de segurança, obrigações de notificação de incidentes, direitos de auditoria e cláusulas de rescisão por falhas de segurança
• Monitore a segurança contínua do fornecedor: Não avalie apenas na integração — conduza revisões regulares
• Desenvolva procedimentos de resposta a incidentes de fornecedores: Saiba o que acontece quando um fornecedor é comprometido
• Diversifique dependências críticas: Evite pontos únicos de falha em sua cadeia de suprimentos

Como o KENSAI ajuda: O KENSAI pode escanear a infraestrutura externa de seus fornecedores (com permissão deles) para fornecer uma visão objetiva de sua postura de segurança. Isso oferece dados verificáveis em vez de confiar apenas em questionários auto-relatados.

Passo 9: Documente Tudo para Prontidão de Auditoria

Por que é importante: A supervisão da NIS2 inclui o poder de conduzir auditorias, inspeções e solicitações de evidência. Se você não pode demonstrar conformidade através de documentação, você não está em conformidade.

Ações:

• Mantenha um repositório de evidências de conformidade com todas as políticas, procedimentos, avaliações de risco e resultados de testes
• Mantenha registros de todos os incidentes de segurança e suas ações de resposta, independentemente de terem atingido o limite "significativo"
• Documente aprovações da gestão — cada aprovação de política, aceitação de risco e decisão orçamentária
• Arquive resultados de testes de segurança com timestamps — scanning contínuo fornece evidência mais forte que relatórios anuais
• Rastreie conclusão de treinamento para todos os funcionários, com atenção especial ao treinamento da gestão
• Registre avaliações de cadeia de suprimentos e cláusulas de segurança de contratos
• Mantenha logs de alterações para todas as políticas e procedimentos relacionados à segurança

Como o KENSAI ajuda: O KENSAI gera automaticamente relatórios de scan com timestamp, históricos de rastreamento de vulnerabilidades e cronogramas de correção. Isso cria uma trilha de auditoria contínua que demonstra testes de segurança contínuos — muito mais convincente para reguladores do que um único relatório anual de pentest.

Passo 10: Implemente Melhoria Contínua

Por que é importante: A NIS2 não é um exercício de checkbox único. A diretiva requer gestão contínua de risco e avaliação regular da eficácia das medidas. Reguladores procurarão evidência de melhoria contínua, não conformidade estática.

Ações:

• Agende revisões de segurança trimestrais para avaliar a eficácia das medidas implementadas
• Rastreie métricas de segurança ao longo do tempo: Contagem de vulnerabilidades, tempo médio para correção, frequência de incidentes, taxas de conclusão de treinamento
• Atualize avaliações de risco quando o cenário de ameaças mudar, após incidentes significativos ou pelo menos anualmente
• Compare com frameworks: Use ISO 27001, NIST CSF ou CIS Controls como benchmarks de maturidade
• Participe de compartilhamento de informações: Junte-se a ISACs específicos do setor (Information Sharing and Analysis Centers) e engaje-se com seu CSIRT nacional
• Revise e atualize esta lista de verificação — revisite seu status de conformidade NIS2 a cada trimestre
• Planeje para evolução regulatória: A NIS2 será revisada e potencialmente atualizada; construa flexibilidade em seu programa de segurança

Como o KENSAI ajuda: O modelo de scanning contínuo do KENSAI está inerentemente alinhado com a melhoria contínua. Cada scan constrói sobre resultados anteriores, rastreando quais vulnerabilidades foram corrigidas, quais são novas e como sua postura de segurança geral evolui ao longo do tempo. A plataforma fornece as métricas e dados de tendências que demonstram melhoria para auditores e reguladores.

Sua Linha do Tempo de Conformidade NIS2

Aqui está uma linha do tempo realista para implementar esta lista de verificação:

Mês 1-2: Fase de Avaliação - Passos 1-2: Determinação de escopo e classificação - Passo 3: Briefing e apoio da gestão - Passo 4: Iniciar avaliação de risco - Passo 5: Mapeamento de superfície de ataque (começar com scan gratuito KENSAI)

Mês 3-4: Fase de Fundação - Passo 4: Completar avaliação de risco - Passo 6: Começar a implementar as 10 medidas mínimas (priorizar lacunas) - Passo 7: Estabelecer capacidades de relatório de incidentes

Mês 5-6: Fase de Implementação - Passo 6: Continuar implementação de medidas mínimas - Passo 8: Abordar segurança da cadeia de suprimentos - Passo 9: Configurar gestão de documentação e evidências

Mês 7+: Fase Contínua - Passo 10: Melhoria, monitoramento e avaliação contínuos - Revisões e atualizações regulares em todos os passos

Erros Comuns a Evitar

• Tratar NIS2 como projeto apenas de TI: Requer envolvimento da gestão e colaboração interfuncional
• Esperar pela transposição nacional: Os requisitos são claros; comece agora
• Confiar excessivamente em certificações: ISO 27001 é uma base forte mas não equivale automaticamente à conformidade NIS2
• Negligenciar obrigações da cadeia de suprimentos: É aqui que muitas organizações serão pegas despreparadas
• Conformidade única: NIS2 requer gestão contínua de risco, não exercícios anuais
• Ignorar o requisito de relatório de 24 horas: Isso requer capacidades de monitoramento, não apenas um documento de política

---

Comece com Visibilidade

Você não pode corrigir o que não pode ver. O primeiro passo para a conformidade NIS2 é entender sua postura de segurança atual.

👉 Obtenha seu scan gratuito de segurança KENSAI em kensai.app/free-scan — mapeie sua superfície de ataque e identifique vulnerabilidades em minutos.