A NIS2 eleva as exigências de cibersegurança para as organizações que prestam serviços essenciais e importantes em toda a União Europeia. Para as equipas de TI e de segurança, a diretiva tem implicações práticas na forma como as organizações gerem o risco de cibersegurança, controlam o acesso, respondem a incidentes, tratam vulnerabilidades e demonstram que as medidas de segurança são aplicadas de forma consistente.
Esses requisitos estão a tornar-se cada vez mais concretos à medida que os Estados-Membros da UE implementam a NIS2 através de legislação nacional. Nos Países Baixos, a Cyberbeveiligingswet que implementa a NIS2 entrou em vigor a 15 de agosto de 2026, introduzindo novas obrigações de cibersegurança, registo e comunicação de incidentes para as organizações abrangidas pelo seu âmbito.
As equipas de TI precisam de compreender quais as práticas de cibersegurança que devem implementar e como a sua stack tecnológica pode ajudá-las a manter esses controlos ao longo do tempo.
O que é a NIS2?
A Diretiva 2 relativa à Segurança das Redes e da Informação, comummente conhecida como NIS2, é uma diretiva de cibersegurança da UE concebida para reforçar a cibersegurança e a resiliência nos setores críticos e importantes.
A NIS2 expande a Diretiva NIS original ao aplicar requisitos de gestão de riscos de cibersegurança e de comunicação de incidentes a uma gama mais ampla de organizações. Também aumenta as expectativas em áreas como gestão de vulnerabilidades, segurança de acesso, continuidade do negócio, segurança da cadeia de abastecimento, tratamento de incidentes e responsabilização organizacional.
Os Estados-Membros da UE implementam a NIS2 através de legislação nacional. Embora a diretiva subjacente estabeleça objetivos comuns de cibersegurança em toda a UE, as organizações devem analisar os requisitos específicos aplicáveis em cada país onde operam.
Quem precisa de cumprir a NIS2?
A NIS2 aplica-se a organizações classificadas como entidades essenciais ou importantes numa ampla variedade de setores. A aplicabilidade depende de fatores como os serviços que uma organização presta, a sua dimensão, o seu setor e a legislação nacional que implementa a diretiva.
Os setores abrangidos incluem áreas como:
Energia
Transportes
Infraestrutura bancária e do mercado financeiro
Saúde
Infraestrutura digital
Gestão de serviços de TIC
Administração pública
Fabrico de determinados produtos críticos
Prestadores digitais
Serviços postais e de correio
Gestão de resíduos
Produção e distribuição alimentar
Produtos químicos
Investigação
As organizações devem avaliar as suas circunstâncias específicas, em vez de se basearem apenas no setor ou na dimensão da empresa para determinar se a NIS2 se aplica.
Que requisitos de cibersegurança a NIS2 introduz?
A NIS2 exige que as organizações abrangidas adotem medidas técnicas, operacionais e organizacionais adequadas e proporcionadas para gerir os riscos de cibersegurança. O artigo 21 da diretiva identifica várias áreas que as organizações precisam de abordar.
Para as equipas de TI, vários requisitos têm implicações diretas nas operações de segurança do dia a dia:
1. Gestão do risco de cibersegurança
As organizações precisam de processos para identificar riscos de cibersegurança e implementar medidas adequadas para os reduzir.
A gestão de risco eficaz depende de visibilidade contínua sobre sistemas, utilizadores, endpoints, vulnerabilidades e configurações de segurança. As equipas de TI também precisam de processos para avaliar se os seus controlos de segurança continuam a funcionar eficazmente à medida que os ambientes e as ameaças mudam.
2. Prevenção, deteção e resposta a incidentes
A NIS2 exige que as organizações se preparem para incidentes de cibersegurança e estabeleçam processos para os gerir.
Isso torna a visibilidade particularmente importante. As equipas de TI e de segurança precisam de informação suficiente sobre os sistemas e a atividade para identificar potenciais problemas, investigar incidentes, tomar medidas de remediação e fornecer as evidências necessárias para a comunicação de incidentes e a análise pós-incidente.
3. Gestão de vulnerabilidades e segurança do software
A gestão de vulnerabilidades é outro elemento importante do quadro NIS2.
As organizações precisam de processos para identificar vulnerabilidades nos seus ambientes tecnológicos e corrigi-las antes de criarem exposição desnecessária. Isto inclui manter sistemas operativos e aplicações, aplicar atualizações de segurança, acompanhar o progresso da remediação e avaliar se as medidas de segurança continuam a ser eficazes.
Um processo repetível de gestão de patches pode ajudar a reduzir o tempo entre a identificação de uma vulnerabilidade e a correção dos sistemas afetados.
4. Identidade, autenticação e controlo de acesso
A NIS2 aborda especificamente o controlo de acesso e as medidas de segurança relacionadas com a identidade.
As equipas de TI devem conseguir determinar quem pode aceder a sistemas e recursos, aplicar as permissões adequadas, remover o acesso quando este já não for necessário e usar mecanismos de autenticação fortes, quando apropriado.
Estas práticas tornam-se especialmente importantes para administração e suporte remotos, em que utilizadores com privilégios podem conseguir aceder a sistemas a partir de fora do perímetro de rede tradicional da organização.
5. Monitorização de segurança e auditabilidade
As organizações também precisam de formas de avaliar a eficácia das suas medidas de cibersegurança.
Registos centralizados, registos de atividade, informações sobre endpoints e relatórios de segurança podem ajudar as equipas a investigar eventos e a demonstrar como os controlos estão a ser aplicados. Manter evidências acessíveis também facilita a revisão dos processos de segurança e a preparação para auditorias.
O registo, por si só, não satisfaz os requisitos da NIS2, mas registos fiáveis são uma componente importante de um programa de conformidade mais abrangente.
6. Continuidade do negócio e segurança da cadeia de abastecimento
A NIS2 vai muito além da segurança de endpoints e de acessos. A diretiva também abrange áreas como:
Continuidade de negócios
Gestão de cópias de segurança e recuperação de desastres
Gestão de crises
Segurança da cadeia de abastecimento
Políticas de segurança
Formação em cibersegurança
Criptografia e encriptação
Segurança dos recursos humanos
Gestão de ativos
Por isso, as organizações precisam de um programa de conformidade coordenado que envolva tecnologia, processos, políticas, colaboradores, fornecedores e liderança.
O que significa a NIS2 para as equipas de TI?
Para muitas equipas de TI, a NIS2 reforça a necessidade de tornar as práticas de cibersegurança existentes mais consistentes, visíveis e repetíveis.
As prioridades operacionais importantes incluem:
Manter visibilidade sobre dispositivos, aplicações, vulnerabilidades e estado de segurança.
Manter os sistemas operativos e as aplicações atualizados com patches através de processos definidos.
Controlar e rever regularmente o acesso aos sistemas.
Aplicar autenticação forte e permissões de acesso adequadas.
Manter registos e logs de atividade úteis para investigações e auditorias.
Identificar rapidamente problemas de segurança e estabelecer processos de correção repetíveis.
Automatizar fluxos de trabalho de segurança e manutenção, quando apropriado.
Manter inventários precisos de hardware e software.
Avaliar se os controlos de cibersegurança continuam a funcionar como previsto.
Produzir evidências que demonstrem como os controlos de segurança são aplicados.
Para organizações que já seguem práticas de cibersegurança maduras, a NIS2 pode reforçar muitos processos já existentes. O desafio é garantir que esses processos funcionam de forma consistente em todo o ambiente e que podem ser demonstrados quando necessário.
Implementação da NIS2 na União Europeia
A NIS2 estabelece um quadro comum de cibersegurança em toda a União Europeia, mas cada Estado-Membro implementa a diretiva através da sua própria legislação nacional.
Como resultado, as organizações devem rever os requisitos específicos que se aplicam em cada país onde operam. Estes podem incluir regras nacionais relacionadas com o registo de entidades, a gestão do risco de cibersegurança, a comunicação de incidentes, as autoridades de supervisão e a aplicação da lei.
Embora os detalhes de implementação variem consoante o país, os objetivos subjacentes de cibersegurança da NIS2 mantêm-se, em geral, consistentes em toda a UE.
Como a Splashtop aborda a conformidade com a NIS2
A Splashtop cumpre os requisitos NIS2 aplicáveis e implementou mais de 150 controlos mapeados para os requisitos aplicáveis aos prestadores de serviços cloud. Estes controlos ajudam a estabelecer uma abordagem estruturada para gerir as responsabilidades de cibersegurança associadas à prestação de serviços baseados na cloud.
Como a NIS2 é implementada através de legislação nacional, algumas obrigações são específicas de cada país. Por exemplo, a Splashtop registou-se junto do Netherlands National Cyber Security Centre (NCSC-NL), em conformidade com os requisitos neerlandeses aplicáveis.
Para as organizações que avaliam fornecedores de tecnologia no âmbito dos seus próprios programas NIS2, as práticas de cibersegurança e a posição regulamentar de um fornecedor também podem ser consideradas em avaliações mais amplas do risco de fornecedores e da cadeia de abastecimento.
Como a Splashtop pode apoiar os requisitos de cibersegurança da NIS2
As organizações também podem usar as capacidades do Splashtop para apoiar várias das práticas técnicas envolvidas na manutenção de um programa de conformidade com a NIS2.
1. Acesso remoto seguro e autenticação
O acesso remoto tem de ser rigorosamente controlado quando funcionários, administradores de TI, fornecedores e técnicos de suporte se podem ligar aos sistemas empresariais a partir de diferentes locais.
A Splashtop oferece capacidades de segurança e administração, incluindo ligações remotas encriptadas, autenticação multifator, integração SSO/SAML, permissões granulares e gestão centralizada.
Estes controlos ajudam as organizações a gerir quem pode aceder remotamente aos sistemas e a aplicar uma autenticação mais forte aos fluxos de trabalho remotos.
2. Controlo de acesso e privilégio mínimo
Os utilizadores devem receber o nível de acesso necessário para as suas responsabilidades, sem acesso desnecessariamente amplo aos sistemas.
O Splashtop permite aos administradores gerir centralmente utilizadores, grupos, computadores e permissões. As organizações podem usar estes controlos para determinar que utilizadores podem aceder a sistemas específicos e modificar o acesso à medida que as responsabilidades mudam.
A centralização destes controlos também facilita às equipas de TI a revisão das permissões de acesso remoto e a remoção do acesso quando este já não é necessário.
3. Registo e evidências de auditoria
Compreender quem acedeu a um sistema e quando é importante para investigações de segurança e para a preparação de auditorias.
A Splashtop disponibiliza capacidades de registo de sessões e atividades que podem ajudar as organizações a manter registos da atividade de acesso remoto. Dependendo da solução e da configuração da Splashtop, as organizações também podem usar capacidades adicionais de registo e SIEM para incorporar a atividade relevante em fluxos de trabalho mais amplos de monitorização de segurança.
Estes registos fornecem outra fonte de prova quando as equipas de TI investigam incidentes de segurança, analisam a atividade de acesso ou demonstram como os controlos estão a funcionar.
4. Gestão de vulnerabilidades e patches com Splashtop
Vulnerabilidades por corrigir podem deixar os endpoints desnecessariamente expostos. Splashtop AEM ajuda as equipas de TI a tornar a gestão de vulnerabilidades e patches mais contínua, fornecendo visibilidade centralizada e automatização.
Com Splashtop AEM, as equipas de TI podem:
Identificar vulnerabilidades que afetam endpoints geridos.
Utilize informações de CVE para ajudar a priorizar a remediação.
Aplicar patches aos sistemas operativos suportados e a aplicações de terceiros.
Aplicar políticas de patching em grupos de endpoints.
Monitorize o estado dos patches e identifique falhas.
Manter o inventário de hardware e software.
Utilize a automação para reduzir o trabalho repetitivo de remediação.
Em vez de dependerem principalmente de revisões manuais periódicas, as equipas de TI podem monitorizar continuamente as condições dos endpoints e agir quando forem identificadas vulnerabilidades ou atualizações em falta.
5. Monitorização e remediação de endpoints
A manutenção dos controlos de cibersegurança também exige que as equipas reconheçam quando as condições dos endpoints ficam fora das políticas previstas e respondam de forma adequada.
O Splashtop AEM oferece visibilidade centralizada sobre endpoints, alertas proativos, gestão baseada em políticas, scripts, tarefas e capacidades de remediação. Estas ferramentas podem ajudar as equipas de TI a identificar problemas e aplicar ações corretivas em todos os endpoints geridos sem ter de tratar cada dispositivo individualmente.
A automação também pode tornar os processos recorrentes de segurança e manutenção mais repetíveis, ajudando a reduzir as inconsistências que surgem quando as tarefas dependem fortemente de intervenção manual.
Crie uma abordagem mais repetível à conformidade com a NIS2
A NIS2 aumenta a importância dos controlos de cibersegurança que as organizações conseguem aplicar, monitorizar, documentar e melhorar de forma consistente. O acesso seguro, a autenticação robusta, a remediação de vulnerabilidades, a visibilidade dos endpoints e registos fiáveis da atividade podem contribuir para essa base.
O Splashtop ajuda as equipas de TI a centralizar o acesso remoto seguro e o suporte, ao mesmo tempo que amplia a visibilidade, a aplicação de correções, a automação e a gestão de endpoints através do Splashtop AEM. A própria conformidade do Splashtop com a NIS2 e o registo no NCSC-NL também fornecem aos clientes informações adicionais a considerar ao avaliar a postura de segurança dos seus fornecedores de tecnologia.
Saiba mais sobre como a Splashtop pode ajudar a sua organização a reforçar o acesso seguro, a gestão de endpoints e a preparação para a NIS2.
