Regulamento de Execução (UE) 2024/2690 (CIR): a quem se aplica e o que exige
O Regulamento de Execução (UE) 2024/2690 da Comissão, abreviado CIR, define em pormenor como certos prestadores digitais aplicam as dez medidas de segurança da NIS2, e quando um incidente nesses prestadores é significativo. Aplica-se diretamente em todos os países da UE, mas só a onze tipos de prestador, como nuvem, centros de dados e serviços geridos. Para todas as outras empresas não é a medida, apenas uma referência possível.
A quem o regulamento se aplica
O artigo 1.º refere onze tipos de entidade. O regulamento chama-lhes as “entidades relevantes”.
Art. 1 e 16 Regulamento de Execução (UE) 2024/2690
- Prestadores de serviços de DNS
- Registos de nomes de domínio de topo (TLD)
- Prestadores de serviços de computação em nuvem
- Prestadores de serviços de centros de dados
- Prestadores de redes de distribuição de conteúdos
- Prestadores de serviços geridos
- Prestadores de serviços de segurança geridos
- Prestadores de mercados em linha
- Prestadores de motores de pesquisa em linha
- Prestadores de plataformas de serviços de redes sociais
- Prestadores de serviços de confiança
É um regulamento, não uma diretiva. Por isso aplica-se em todos os países da UE sem uma lei nacional. Foi publicado no Jornal Oficial a 18 de outubro de 2024 e entrou em vigor 20 dias depois.
Se um prestador destes fica de todo abrangido pela NIS2 é decidido pela diretiva e pela lei nacional, na Alemanha o § 28 BSIG. O regulamento diz apenas como exatamente aplica as medidas.
O que o Anexo exige
O Anexo tem 13 secções. Cada uma pertence a um ponto do Art. 21(2) NIS 2 e tem requisitos individuais numerados.
N.º 1
Política de segurança das redes e dos sistemas de informação
Um documento de política que a direção revê pelo menos uma vez por ano, mais funções e responsabilidades claras.
N.º 2
Política de gestão de riscos
Identificar, avaliar e tratar os riscos. Os resultados são revistos pelo menos uma vez por ano.
N.º 3
Tratamento de incidentes
Detetar, registar, classificar, tratar e rever incidentes.
N.º 4
Continuidade da atividade e gestão de crises
Planos de contingência, cópias de segurança e redundância, gestão de crises.
N.º 5
Segurança da cadeia de abastecimento
Uma política para as relações com os fornecedores diretos e um registo desses fornecedores.
N.º 6
Aquisição, desenvolvimento e manutenção
Segurança na compra e no desenvolvimento de sistemas, alterações, testes, atualizações e tratamento de vulnerabilidades.
N.º 7
Avaliar a eficácia
Decidir como verificar se as medidas funcionam.
N.º 8
Ciber-higiene e formação
Regras básicas para todos, sensibilização e formação, também para a direção.
N.º 9
Criptografia
Uma política de cifragem, com gestão de chaves.
N.º 10
Segurança dos recursos humanos
Responsabilidades, verificação de antecedentes quando adequado, e procedimentos para saídas e mudanças de função.
N.º 11
Controlo de acessos
Direitos de acesso, contas privilegiadas, identificação, autenticação e, quando adequado, vários fatores (n.º 11.7).
N.º 12
Gestão de ativos
Um inventário de sistemas e ativos, a sua classificação e o seu manuseamento.
N.º 13
Segurança ambiental e física
Proteção contra falhas de abastecimento, incêndio e água, acesso físico controlado.
Também aqui se aplica a proporcionalidade: contam o risco, a dimensão e a probabilidade e gravidade dos incidentes (Art. 2(2)). Quando o Anexo diz “quando adequado” e um prestador não aplica um requisito, documenta o motivo de forma compreensível.
Quando um incidente é significativo
Para as entidades relevantes, o regulamento fixa quando um incidente é significativo e tem, por isso, de ser notificado. O artigo 3.º aplica-se a todas: por exemplo, uma perda financeira direta superior a 500 000 EUR ou a 5 por cento do volume de negócios anual, consoante o que for inferior, a exfiltração de segredos comerciais, ou um acesso bem-sucedido, presumivelmente malicioso, que possa causar uma perturbação grave do funcionamento.
Se ocorrerem pelo menos dois incidentes com a mesma causa aparente num período de seis meses e, em conjunto, atingirem o limiar de perda financeira, contam em conjunto como significativos (artigo 4.º).
Os artigos 5.º a 14.º fixam limiares por tipo de prestador. Um exemplo: um serviço de nuvem totalmente indisponível durante mais de 30 minutos (artigo 7.º). A manutenção programada não conta.
Art. 3 a 14 Regulamento de Execução (UE) 2024/2690 · Art. 23(3) NIS 2
Como se relaciona com a BSIG alemã
Para os onze tipos de prestador, o regulamento prevalece sobre as medidas do § 30 BSIG (§ 30(3) BSIG).
Não se aplica a nenhuma outra empresa. As medidas destas são avaliadas à luz do § 30 BSIG. A Comissão ainda não adotou um ato de execução para todas as entidades (§ 30(4) BSIG).
Nos termos do § 44(2) BSIG, o IT-Grundschutz do BSI só conta como cumprimento do § 30 para os organismos da administração federal. Para as empresas pode estruturar o trabalho, mas não é uma prova reconhecida por lei.
§ 30(3) e (4) · § 44(2) BSIG
O que isto significa para uma empresa com 50 a 150 trabalhadores
A maioria das empresas desta dimensão, como fabricantes, empresas alimentares ou empresas de resíduos, não pertence a nenhum dos onze tipos. O regulamento não as vincula. Avaliam as suas medidas à luz do § 30 BSIG.
Pode ler o regulamento como referência, se quiser ver como uma medida fica em pormenor. Isso não é uma obrigação.
Se a sua empresa for um prestador de serviços de TI que opera ou gere os sistemas dos seus clientes, pode, no entanto, ser um prestador de serviços geridos. Nesse caso, o regulamento aplica-se-lhe diretamente.
Um exemplo
Duas empresas fictícias com 90 trabalhadores cada.
Um fabricante de máquinas de embalagem: o fabrico de máquinas consta do Anexo 2 da BSIG, por isso a empresa é uma entidade importante. O regulamento não a vincula. Revê a sua política de segurança num intervalo que ela própria fixa.
Um prestador de serviços de TI que opera servidores, redes e postos de trabalho para 200 clientes: é um prestador de serviços geridos. O regulamento aplica-se-lhe diretamente.
Para o prestador de serviços de TI isto significa, entre outras coisas: a direção revê a política de segurança pelo menos uma vez por ano, a avaliação de riscos é revista pelo menos uma vez por ano, e o acesso aos seus sistemas usa vários fatores quando adequado.
Se tiver um incidente, verifica os limiares dos artigos 3.º e 10.º do regulamento antes de decidir se notifica.
Como o percurso guiado faz isto
O percurso guiado em nisd2.eu cobre o que a BSIG pede a todas as entidades e conhece os prestadores a que o regulamento se aplica.
Cada uma das dez áreas do § 30(2) BSIG torna-se pelo menos um passo que preenche.
O passo da política de segurança indica que, para os prestadores a que o regulamento se aplica, a política é revista pelo menos uma vez por ano.
Se a sua empresa estiver registada em infraestrutura digital, gestão de serviços de TIC ou prestadores digitais, cada requisito fica em aberto para si com os pormenores do regulamento, mesmo depois de o percurso guiado ter feito a parte que todas as entidades devem.
No fim, a direção aprova os documentos na aplicação, com sessão iniciada na sua própria conta.
Perguntas frequentes
O que é o CIR 2024/2690?
O Regulamento de Execução (UE) 2024/2690 da Comissão, de 17 de outubro de 2024. Para onze tipos de prestador digital, fixa os requisitos técnicos e metodológicos das medidas do Art. 21(2) NIS 2 e especifica quando um incidente nesses prestadores é significativo.
O regulamento aplica-se à minha empresa?
Só se for um dos onze tipos do artigo 1.º, como nuvem, centro de dados ou serviços geridos, e estiver abrangida pela NIS2 nos termos da lei nacional. Não se aplica a mais ninguém.
O regulamento tem de ser transposto para a lei nacional?
Não. Como regulamento, aplica-se diretamente em todos os países da UE. Na Alemanha, a BSIG dá-lhe prevalência para os prestadores relevantes (§ 30(3) BSIG).
Quantas secções tem o Anexo?
13. Seguem as alíneas a) a j) do Art. 21(2) NIS 2. O controlo de acessos (n.º 11), por exemplo, inclui a autenticação multifator (n.º 11.7).
Um certificado ISO 27001 é suficiente?
O regulamento baseia-se, entre outras, nas normas ISO/IEC 27001 e 27002 (considerandos). Um certificado não substitui, no entanto, os seus requisitos. Verifique cada requisito do Anexo por si.
Fontes
- Regulamento de Execução (UE) 2024/2690 da Comissão, de 17 de outubro de 2024, JO L, 2024/2690, 18 de outubro de 2024, EUR-Lex
- Diretiva (UE) 2022/2555 (NIS 2), Art. 21 e 23, EUR-Lex
- Lei do BSI (BSIG), §§ 28, 30, 44, gesetze-im-internet.de/bsig_2025
Na prática
Onde isto aparece no percurso guiado
O percurso guiado transforma isto em passos que preenche, com a lei explicada ao lado de cada um. Abra um passo para ver o seu ecrã, preenchido para uma empresa fictícia.
O percurso em si está em alemão e em inglês.
Risk Management
Write the security policy
A short policy that management approves.
Authentication & Communications
Record where a second factor protects
For each program on your list: password alone, or with a second factor.
Supply Chain Security
Write down who works for you
A list of your suppliers and service providers.
Quanto custa o percurso guiado
€ 4.800 sem IVA por ano, mais IVA
30 dias para reembolsoPor fatura, com vencimento a 30 dias. Cancelamento nos primeiros 30 dias: fatura anulada ou reembolso.
Implementação guiada da NIS 2, passo a passo
Um histórico de alterações e aprovações para mostrar à sua autoridade de supervisão
Prazos e lembretes para cada requisito
Questionário de segurança para os seus fornecedores
Exportação para PDF ou CSV a qualquer momento
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
