Guia de implementação do CIR 2024/2690
O Regulamento de Execução da UE que especifica exatamente quais as medidas técnicas e metodológicas que as entidades NIS2 têm de implementar. Publicado no Jornal Oficial em 17 de outubro de 2024 e diretamente aplicável em todos os Estados-Membros.
O que é o CIR 2024/2690?
O Regulamento de Execução (UE) 2024/2690 da Comissão, de 17 de outubro de 2024, foi publicado no Jornal Oficial da União Europeia (série JO L, 2024/2690). Estabelece regras para a aplicação da Diretiva (UE) 2022/2555 (a Diretiva NIS2) no que respeita aos requisitos técnicos e metodológicos das medidas de gestão de riscos de cibersegurança. Ao contrário da própria Diretiva NIS2, este regulamento não exige transposição nacional. Aplica-se diretamente nos 27 Estados-Membros a partir da data da sua entrada em vigor.
O CIR é a resposta à pergunta que todos os responsáveis pela conformidade fazem: «O que é que temos exatamente de implementar?» Enquanto o §30 BSIG (a transposição alemã) enumera 10 áreas de medidas em termos gerais, o anexo do CIR decompõe-nas em requisitos técnicos e metodológicos específicos e auditáveis. É a especificação oficial mais granular das obrigações NIS2 disponível. Mais detalhada do que a própria Diretiva, mais específica do que o BSIG e diretamente exigível.
O regulamento foi desenvolvido em consulta com a ENISA e com o Grupo de Cooperação NIS, baseando-se em quadros existentes como a ISO/IEC 27001, a ETSI EN 319 401 e normas nacionais. Aplica-se especificamente a prestadores de serviços DNS, registos de nomes de domínio de topo (TLD), prestadores de serviços de computação em nuvem, prestadores de serviços de gestão de TIC, prestadores de serviços de segurança geridos, prestadores de mercados em linha, prestadores de motores de pesquisa em linha, prestadores de plataformas de serviços de redes sociais e prestadores de serviços de confiança. Ainda assim, os seus requisitos técnicos servem de referência de facto para todas as entidades NIS2.
Prestadores de serviços DNS
Registos de nomes de domínio de topo (TLD)
Prestadores de serviços de computação em nuvem
Gestão de serviços de TIC (serviços geridos) e prestadores de serviços de segurança geridos
Prestadores de mercados em linha
Prestadores de plataformas de serviços de redes sociais
Prestadores de serviços de confiança
Estrutura do regulamento
O CIR é composto por 7 artigos que definem o âmbito, as definições e os requisitos, mais um anexo detalhado que contém as especificações técnicas e metodológicas.
Artigo 2.o. Definições
Estabelece definições para «segurança das redes e dos sistemas de informação», «incidente significativo» e outros termos-chave. Alinha a terminologia com a Diretiva NIS2, acrescentando precisão específica da implementação.
Artigo 3.o. Significância dos incidentes
Define quando um incidente é «significativo», ou seja, o limiar que desencadeia as obrigações de comunicação. Um incidente é significativo se causar perdas financeiras superiores a 500 000 EUR ou 5 % do volume de negócios anual, resultar na exfiltração de segredos comerciais, causar morte ou danos consideráveis à saúde, ou cumprir critérios específicos da entidade definidos no artigo.
Artigo 4.o. Incidentes significativos recorrentes
Especifica que incidentes recorrentes que individualmente não atingem o limiar de significância podem ser agregados e tratados como um único incidente significativo se, em conjunto, cumprirem os critérios num período de seis meses.
Artigo 5.o. Incidentes significativos para registos DNS e TLD
Acrescenta critérios de significância específicos para prestadores de serviços DNS e registos TLD, incluindo a disponibilidade do serviço abaixo de 99,9 % durante qualquer período, taxas de resposta DNS incorretas e o comprometimento da integridade ou confidencialidade dos dados de registo de domínios armazenados.
Artigo 6.o. Requisitos técnicos e metodológicos
O artigo central. Exige que as entidades abrangidas implementem os requisitos técnicos e metodológicos estabelecidos no anexo. As medidas têm de ser «adequadas e proporcionadas» aos riscos, tendo em conta a dimensão da entidade, a sua exposição, a probabilidade de incidentes e o impacto societal.
Artigo 7.o. Entrada em vigor
O regulamento entrou em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial (publicado em 17 de outubro de 2024). Aplica-se diretamente em todos os Estados-Membros sem necessidade de transposição nacional.
Política de segurança das redes e dos sistemas de informação
Exige uma política de segurança das redes e dos sistemas de informação documentada e aprovada pela direção, que defina a abordagem da entidade à gestão da segurança, revista a intervalos planeados e atualizada após incidentes significativos ou alterações. Enquadra todas as medidas subsequentes.
Política de gestão de riscos
Exige um quadro de gestão de riscos com uma metodologia definida, a identificação dos riscos para as redes e os sistemas de informação, a análise e a avaliação face a critérios de aceitação de riscos, um plano de tratamento e a aprovação do risco residual pela direção, revisto a intervalos planeados.
Tratamento de incidentes
Exige uma política e procedimentos para detetar, analisar, conter, responder e recuperar de incidentes, com funções definidas, registo, escalonamento e comunicação, e uma análise pós-incidente estruturada que retroalimente as lições aprendidas nas medidas.
Continuidade da atividade e gestão de crises
Exige um plano de continuidade da atividade e de recuperação após desastre baseado numa análise de impacto na atividade, a gestão de cópias de segurança e de redundância com procedimentos de restauro testados, e um plano de gestão de crises com funções definidas, revisto e testado a intervalos planeados.
Segurança da cadeia de abastecimento
Exige uma política de segurança da cadeia de abastecimento que reja as relações com os fornecedores diretos e os prestadores de serviços, incluindo critérios de segurança para a seleção, requisitos contratuais e um diretório de fornecedores mantido e monitorizado ao longo do ciclo de vida da relação.
Segurança na aquisição, desenvolvimento e manutenção das redes e dos sistemas de informação
Exige que a segurança seja integrada na aquisição, no desenvolvimento e na manutenção dos sistemas, abrangendo práticas de desenvolvimento seguro, gestão de configurações, gestão de alterações, testes de segurança, gestão de correções e o tratamento de vulnerabilidades ao longo de todo o ciclo de vida.
Políticas e procedimentos para avaliar a eficácia das medidas de gestão de riscos de cibersegurança
Exige que a entidade defina políticas e procedimentos para avaliar se as suas medidas de gestão de riscos são eficazes, incluindo monitorização, revisão e avaliação independente, de modo a identificar deficiências e a melhorar as medidas ao longo do tempo.
Práticas básicas de ciber-higiene e formação em segurança
Exige práticas básicas de ciber-higiene e um programa de sensibilização para a segurança dirigido a todo o pessoal, com formação específica por função para o pessoal com tarefas de segurança e para a direção, abrangendo políticas, ameaças e deveres de comunicação.
Criptografia
Exige uma política e procedimentos sobre a utilização de criptografia, incluindo a seleção de algoritmos e comprimentos de chave adequados aos dados, e a gestão de chaves que abranja a geração, o armazenamento, a rotação e a destruição, revistos face às melhores práticas atuais.
Segurança dos recursos humanos
Exige medidas de segurança dos recursos humanos ao longo do ciclo de vida do emprego, incluindo a verificação prévia à contratação quando adequado, responsabilidades de segurança definidas, termos e condições, e procedimentos para mudanças de função e cessação, de modo a que o acesso termine quando o emprego termina.
Controlo de acessos
Exige uma política de controlo de acessos com a gestão dos direitos de acesso (11.2) e das contas privilegiadas (11.3), sistemas de administração (11.4), identificação única (11.5), autenticação (11.6) e autenticação multifator ou contínua (11.7) para o acesso a sistemas críticos e para o acesso remoto, revista a intervalos planeados.
Gestão de ativos
Exige uma política de gestão de ativos com a classificação dos ativos, um inventário das redes e dos sistemas de informação e dos ativos de suporte, regras de manuseamento de acordo com a classificação, e políticas para suportes amovíveis e para a devolução ou eliminação seguras dos ativos.
Segurança ambiental e física
Exige a proteção das instalações contra ameaças físicas e ambientais, incluindo os serviços de apoio, o acesso físico controlado aos sistemas, e a proteção contra falhas como cortes de energia, incêndios e inundações, de forma proporcional ao risco para os sistemas.
A Diretiva NIS2 (UE) 2022/2555 é a legislação principal. Estabelece o quadro, as obrigações e o regime de execução ao nível da UE. Os Estados-Membros tinham de a transpor para o direito nacional até 17 de outubro de 2024. A transposição alemã é a NIS2UmsuCG, que altera o BSIG. O BSIG contém agora todas as obrigações NIS2 no direito alemão, incluindo o §30 (medidas de cibersegurança) e o §32 (comunicação de incidentes).
O CIR 2024/2690 é um regulamento da UE diretamente aplicável. Não exige transposição e prevalece sobre disposições nacionais contraditórias. Sempre que o CIR especifica um requisito técnico, esse requisito aplica-se diretamente, independentemente de o BSIG o abordar ou não. Para os tipos de entidade enumerados no artigo 1.o, o CIR é a norma de conformidade principal.
Para entidades NÃO diretamente enumeradas no artigo 1.o do CIR mas ainda assim sujeitas à NIS2 (por exemplo, fornecedores de energia, saúde, transportes), o CIR serve de referência mais autorizada sobre o que são medidas «adequadas e proporcionadas». Espera-se que os tribunais alemães e o BSI recorram às especificações técnicas do CIR ao avaliar se as medidas de uma empresa cumprem a norma do §30 BSIG, mesmo que o CIR não vincule formalmente essas entidades.
- Regulamento de Execução (UE) 2024/2690 da Comissão, de 17 de outubro de 2024. Jornal Oficial da União Europeia, JO L 2024/2690
- EUR-Lex. Texto integral do CIR 2024/2690 (CELEX: 32024R2690)
- Diretiva (UE) 2022/2555 (Diretiva NIS2). Jornal Oficial da União Europeia
- ENISA. Orientações técnicas sobre as medidas de implementação da NIS2 (2024)
- secuvera GmbH. Análise dos requisitos do CIR 2024/2690 e correspondência com a ISO 27001 (2024)
- BSIG. §30 (Risikomanagementmaßnahmen), §32 (Meldepflichten), com a redação da NIS2UmsuCG