Glossário de terminologia NIS2
229 termos da NIS2, do BSIG e do CRA, em palavras simples. Onde um curso utiliza o termo, vê a lição e a frase.
As definições provêm dos dicionários dos nossos cursos. Os mesmos textos aparecem quando passa o cursor sobre um termo em qualquer parte da wiki. Um termo com nome alemão também está listado sob esse nome e remete para a entrada em inglês, porque os textos da UE e os nossos cursos utilizam o termo inglês. Quando sabemos em que disposição assenta uma definição, esta é indicada por baixo do texto.
#
- § 30 BSIG: Cybersecurity measures
- A disposição central da NIS2 na lei alemã. Enumera dez categorias de medidas de gestão de risco de cibersegurança que todas as entidades no âmbito têm de implementar. Abrange avaliação de risco, tratamento de incidentes, continuidade de negócio, segurança da cadeia de abastecimento, desenvolvimento seguro, avaliação de eficácia, formação, criptografia, controlo de acessos e autenticação multifator. As medidas têm de ser 'adequadas, proporcionadas e eficazes': nem douradas em excesso, mas genuínas.
- §30 BSIG
- § 32 BSIG: Incident reporting
- A cascata obrigatória de comunicação de incidentes. Quando ocorre um incidente significativo: alerta precoce ao BSI no prazo de 24 horas após ter tido conhecimento do incidente, notificação do incidente no prazo de 72 horas, um relatório intercalar se o BSI o solicitar e um relatório final o mais tardar um mês após a notificação das 72 horas (um relatório de progresso, em vez dele, se o incidente ainda estiver em curso). Cada fase tem requisitos de conteúdo específicos. Os relatórios tardios ou em falta são infrações autónomas, com disposições sancionatórias próprias (§65(2) n.os 4 e 5 BSIG).
- §32 BSIG
- § 33 BSIG: Registration obligation
- A obrigação legal de todas as entidades no âmbito se registarem junto do BSI. Fornece informação da entidade, classificação setorial, dados de contacto de cibersegurança e intervalos de endereços IP. A falta de registo é uma infração autónoma punível com coimas até 500 000 EUR, separada de quaisquer sanções por não implementar medidas de segurança efetivas.
- §33 BSIG
- § 38 BSIG: Implementation and oversight duty
- A disposição que obriga o órgão de administração a implementar as medidas de gestão de risco exigidas pelo §30 BSIG e a supervisionar a sua implementação (§38(1) BSIG), e a frequentar formação regular sobre riscos de cibersegurança (§38(3) BSIG). O dever de aprovar essas medidas está previsto no artigo 20.º, n.º 1, da NIS 2; o §38(1) refere apenas implementar e supervisionar. A violação dos deveres de implementação e de supervisão torna a direção responsável perante a sua empresa pelos danos causados com culpa, segundo as regras de direito das sociedades aplicáveis à respetiva forma jurídica (§38(2) BSIG). Se a empresa pode renunciar a essas pretensões depende desse direito das sociedades; o §38 nada diz a esse respeito. Este é o parágrafo que chama a atenção dos gerentes.
- §38(1)-(3) BSIG
A
- Access control
- As políticas e os mecanismos que restringem quem pode aceder aos sistemas e aos dados.
Pessoas e acessos: (g) higiene cibernética e formação do pessoal, (h) políticas de criptografia, (i) segurança dos recursos humanos, controlo de acessos e gestão de ativos, e (j) autenticação multifator e comunicações seguras.
Formação NIS2 para a direção, Lição 1.9: As dez medidas: visão geral- access review
- Uma verificação periódica de quem tem acesso a quê, para remover permissões que já não são necessárias.
- Actively exploited vulnerability
- Uma vulnerabilidade no seu produto relativamente à qual existem provas fiáveis de que um agente malicioso a explorou num sistema sem a autorização do proprietário do sistema (artigo 3.º, n.º 42, do CRA). O fator desencadeador do dever de notificação do artigo 14.º, n.º 1, do CRA, que começa com um alerta precoce no prazo de 24 horas (artigo 14.º, n.º 2, alínea a)). Distingue-se de uma vulnerabilidade divulgada publicamente mas ainda não explorada.
A obrigação é acionada por uma vulnerabilidade ativamente explorada, ou seja, uma vulnerabilidade que um ator malicioso está a utilizar atualmente contra sistemas reais sem autorização.
Fundamentos do SBOM no CRA, Lição 3.2: Manter o seu SBOM atualizado e monitorizar vulnerabilidades. Também em: Lição 0.1- acts of war
- Uma categoria de exclusão acionada quando um ataque é atribuído a um Estado ou a um agente patrocinado por um Estado.
O caso Mondelez prova o padrão: mesmo uma apólice de cem milhões de dólares pode ser recusada ao abrigo de uma única cláusula de exclusão quando a seguradora decide que o ataque se qualifica como um ato de guerra.
Formação NIS2 para a direção, Lição 4.1: O seguro não substitui os controlos- Administrative fine
- A sanção que o regulador impõe à empresa nos termos do artigo 34.º da Diretiva NIS2.
O artigo 34 da Diretiva NIS2 fixa a coima administrativa máxima para entidades essenciais no valor mais elevado entre dez milhões de euros ou dois por cento do volume de negócios anual mundial total.
Formação NIS2 para a direção, Lição 1.3: Sanções e a proibição de exercer funções de direção- All-hazards approach
- O princípio do artigo 21.º, n.º 2, segundo o qual o seu dever abrange todas as ameaças aos sistemas, e não apenas os ciberataques, incluindo as ameaças físicas, ambientais e humanas.
O Artigo 21(2) exige uma gestão de riscos "baseada numa abordagem de todos os perigos que vise proteger as redes e os sistemas de informação e o ambiente físico desses sistemas contra incidentes".
Formação NIS2 para a direção, Lição 1.10: Abordagem de todos os riscos e estado da arte- Appropriate and proportionate
- O critério do artigo 21.º, n.º 1, da NIS 2 para as medidas de cibersegurança. Têm de se ajustar ao risco e ser dimensionadas para a entidade (o §30(1) BSIG acrescenta «eficazes»). Um plano que nunca testou é difícil de defender como adequado, porque o artigo 21.º, n.º 2, alínea f), exige procedimentos para avaliar se as medidas funcionam.
Usa a regra adequadas e proporcionadas do Artigo 21(1) NIS 2 e a regra de teste do CIR 2024/2690 Anexo Secção 4.1.
Formação em exercícios tabletop NIS 2, Lição 3.1: Cadência anual, questionário final e atestado- Article 21(2)(g) NIS 2
- O parágrafo da diretiva que exige práticas básicas de ciber-higiene e formação em cibersegurança. A base jurídica da formação específica da função que a atestação deste curso abrange.
O PDF que recebe no final deste curso é prova de que concluiu formação em cibersegurança específica do papel, ao abrigo do Artigo 21(2)(g) NIS 2, para o papel de facilitador.
Formação em exercícios tabletop NIS 2, Lição 3.1: Cadência anual, questionário final e atestado- Asset
- Tudo de que a empresa depende para operar: pessoas, processos, subscrições na nuvem, edifícios e equipamento de TI.
Esta lição aborda o que significa "ativo" no âmbito da NIS2 e por que razão o inventário desses ativos é a base sobre a qual assentam todos os outros controlos de segurança.
Formação NIS2 para a direção, Lição 2.2: O que é um ativo?- Asset inventory
- A lista mantida de todos os ativos, conservada atualizada à medida que a empresa muda; a base sobre a qual assenta todos os outros controlos de segurança.
A lista completa deles chama-se inventário de ativos, e tem de ser mantida atualizada.
Formação NIS2 para a direção, Lição 2.2: O que é um ativo?- Asset management
- O processo de identificar, inventariar e gerir todos os ativos de TI de que a empresa depende.
Pessoas e acessos: (g) higiene cibernética e formação do pessoal, (h) políticas de criptografia, (i) segurança dos recursos humanos, controlo de acessos e gestão de ativos, e (j) autenticação multifator e comunicações seguras.
Formação NIS2 para a direção, Lição 1.9: As dez medidas: visão geral- Attestation
- O PDF datado que este curso lhe entrega no final. Prova de formação em cibersegurança específica da função ao abrigo do artigo 21(2)(g) NIS 2 para a função de facilitador. Não é o mesmo que a formação do órgão de direção ao abrigo do artigo 20(2).
Após aprovação, a plataforma gera um atestado em PDF com data.
Fundamentos do SBOM no CRA, Lição 4.1: Avaliação final. Também em: Formação em exercícios tabletop NIS 2, Lição 0.1; Lição 0.1- Attribution
- O ato de identificar quem está por detrás de um ataque; determina se as cláusulas de atos de guerra se aplicam e se o direito das sanções é acionado.
Para a cláusula de atos de guerra em particular, faça três perguntas: como é definida nesta apólice a "ação hostil ou bélica", o que acontece quando a atribuição não é clara, e qual é a posição declarada da seguradora sobre grupos de ransomware alinhados com Estados.
Formação NIS2 para a direção, Lição 4.4: Exclusões de apólice comuns a que estar atento. Também em: Lição 4.5; Lição 4.6- audit rights
- Cláusulas contratuais que lhe conferem o direito de inspecionar os controlos de segurança de um fornecedor.
Três: cláusulas contratuais, notificação de incidentes para que o avisem rapidamente quando sofrerem uma violação, uma base de referência de segurança, e direitos de auditoria para que o senhor ou um nomeado possa verificar o trabalho deles.
Formação NIS2 para a direção, Lição 2.9: Medida 4 - Segurança da cadeia de abastecimento. Também em: Lição 3.9- Audit trail
- O registo cronológico do que era conhecido, quando e por quem; a razão pela qual esconder algo raramente funciona.
- §30(1) sentence 3 BSIG, §61 BSIG
Ocultar uma lacuna ou corrigi-la em silêncio falham ambas quando a trilha de auditoria conta a história, e a trilha de auditoria conta sempre a história.
Formação NIS2 para a direção, Lição 3.11: Cenário - Descoberta de uma lacuna antes da auditoria- Availability
- A propriedade de um sistema estar acessível e utilizável quando necessário.
- awareness training
- A formação de segurança recorrente para todo o pessoal, que abrange os fundamentos da ciber-higiene; o CIR pede que seja repetida e oferecida a intervalos planeados (8.1.2, 8.1.3).
B
- back door
- Um ponto de entrada oculto no software que permite o acesso não autorizado, muitas vezes implantado por um atacante.
- breach of trust
- Um crime previsto na lei alemã (§ 266 StGB) por violação do dever de zelar pelos interesses patrimoniais da empresa e de lhe causar assim um prejuízo, por exemplo gastando o seu dinheiro contra o seu interesse.
Na Alemanha, a infidelidade patrimonial nos termos do artigo 266 do código penal aplica-se quando dinheiro da empresa é gasto contra o interesse da própria empresa.
Formação NIS2 para a direção, Lição 4.6: Decisões sobre o pagamento de ransomware- BSI registration
- O registo obrigatório das entidades no âmbito junto do BSI através do seu portal online. Exigido pelo §33 BSIG com a sua própria disposição sancionatória. Fornece os dados da sua empresa, a classificação setorial, uma pessoa de contacto de cibersegurança e os intervalos de endereços IP. Esta é uma obrigação legal autónoma: cumpri-la não satisfaz os seus outros requisitos NIS2, mas não a cumprir é uma infração por si só.
- §33 BSIG
- BSI Standard 200-4
- A norma do BSI alemão sobre gestão da continuidade de negócio. Define cinco tipos de exercício (revisão do plano ou verificação documental, exercício de pessoal, exercício de pessoal alargado, exercício de alerta, teste funcional) e exige um plano anual de exercícios.
O BSI Standard 200-4 e a norma internacional ISO 22301:2019 Secção 8.6 nomeiam quatro tipos de exercício:
Formação em exercícios tabletop NIS 2, Lição 0.1: O que é um exercício de simulação e porque a NIS 2 o exige- BSI TR-02102
- A diretriz técnica do BSI que enumera os algoritmos criptográficos atualmente recomendados; referencie-a na política para que esta se mantenha atual automaticamente.
Em vez de memorizar nomes de algoritmos, a referência certa para as empresas europeias é o BSI TR-02102, que o BSI atualiza à medida que a investigação evolui.
Formação NIS2 para a direção, Lição 2.13: Medida 8 - Criptografia- BSIG
- A lei do BSI da Alemanha (Lei sobre o Gabinete Federal para a Segurança da Informação e sobre a Segurança das Tecnologias da Informação das Entidades), a lei nacional que transpõe a NIS2 na Alemanha.
- BSIG (Art. 1 of the Act of 2 December 2025, BGBl. 2025 I Nr. 301)
Na Alemanha, essa lei é a BSIG (a Lei Federal de Segurança Informática, alterada pela Lei de Implementação da NIS2).
Formação NIS2 para a direção, Lição 1.1: O que é a NIS2 e porque existe- Business continuity
- Os planos e processos que garantem a continuidade das operações críticas durante e após uma perturbação.
Incidentes e continuidade: (b) tratamento de incidentes e (c) continuidade do negócio.
Formação NIS2 para a direção, Lição 1.9: As dez medidas: visão geral- Business continuity (BCM)
- A disciplina global de manter o negócio a funcionar através dos incidentes; abrange cópias de segurança, recuperação de desastres e gestão de crises.
"Qual é o nosso RTO no sistema de negócio central e o que diz o último teste de recuperação após desastre sobre o tempo de recuperação real?"
Formação NIS2 para a direção, Lição 2.8: Medida 3 - Continuidade do negócio- Business impact analysis (BIA)
- A análise do modo como perturbações graves afetariam as operações da empresa; define requisitos de continuidade, como tempos de recuperação e perda de dados aceitável (CIR 4.1.3), e torna a matriz de riscos acionável.
O documento que traduz estas categorias em números de negócio chama-se análise de impacto no negócio, BIA.
Formação NIS2 para a direção, Lição 2.5: A tríade CIA e o impacto no negócio- business interruption
- A perda financeira resultante da paragem ou degradação das operações durante e após um incidente.
Paga os custos de gestão de um incidente ciber: investigação forense, resposta a incidentes, notificação de clientes e perdas por interrupção da atividade.
Formação NIS2 para a direção, Lição 4.3: Seguro cibernético vs D&O - produtos diferentes, coberturas diferentes- Business Judgment Rule
- O princípio do direito das sociedades que protege os administradores da responsabilidade pessoal por decisões empresariais tomadas de boa-fé e com informação razoável.
A Business Judgment Rule protege os administradores da responsabilidade pessoal por decisões de negócio tomadas de boa-fé, com informação razoável, em benefício da empresa.
Formação NIS2 para a direção, Lição 1.8: A business judgment rule não o protege
C
- chain of evidence
- O registo ininterrupto de como as provas digitais foram recolhidas, armazenadas e manuseadas; destruído ao restaurar os sistemas antes da análise forense.
Restaurar antes de a análise forense examinar os sistemas comprometidos destrói a cadeia de prova e mantém aberto o vetor de entrada.
Formação NIS2 para a direção, Lição 3.8: Cenário - Ataque de ransomware numa sexta-feira à tarde- CIA triad
- Confidencialidade, integridade, disponibilidade: os três tipos de dano que um incidente pode causar; a linguagem que toda conversa sobre segurança utiliza.
Por baixo dessa expressão está um vocabulário de três letras que toda a conversa sobre segurança usa: a tríade CIA.
Formação NIS2 para a direção, Lição 2.5: A tríade CIA e o impacto no negócio- CIR
- O Regulamento de Execução (UE) 2024/2690 da Comissão, o conjunto pormenorizado de regras técnicas para determinados prestadores digitais (como os prestadores de DNS, de nuvem, de centros de dados e de serviços geridos e os mercados em linha) e para os prestadores de serviços de confiança; aplica-se diretamente em todos os Estados-Membros.
- Commission Implementing Regulation (EU) 2024/2690
Acima da diretiva está um segundo instrumento de direito da UE: o Regulamento de Execução (UE) 2024/2690 da Comissão, o CIR.
Formação NIS2 para a direção, Lição 1.1: O que é a NIS2 e porque existe- CIR 2024/2690
- Regulamento de Execução (UE) 2024/2690 da Comissão. Especifica os requisitos técnicos e metodológicos para as medidas de cibersegurança de determinadas entidades de infraestrutura digital.
O Artigo 3 do CIR 2024/2690 define o que conta como significativo.
Formação em exercícios tabletop NIS 2, Lição 1.1: A cascata de notificação do artigo 23 que o seu exercício deve ensaiar. Também em: Lição 2.2; Lição 2.3- CISO
- Chief Information Security Officer; a pessoa responsável pelo programa de cibersegurança da empresa.
Se a sua autoridade reguladora entrasse no seu escritório amanhã e perguntasse sobre a sua cibersegurança, a quantas perguntas conseguiria responder sem se virar para o seu CISO?
Formação NIS2 para a direção, Lição 3.1: As perguntas que todo CEO tem de responder- Civil liability
- A exposição jurídica que permite à sua própria empresa processá-lo pessoalmente por danos nos termos do direito nacional das sociedades.
- Compliance gap
- Um elemento em falta ou incompleto do programa de conformidade exigido.
Sem ele, não conseguem chegar até si, e essa falha de comunicação é, em si mesma, uma lacuna de conformidade.
Formação NIS2 para a direção, Lição 1.4: A obrigação de registo- compliance officer
- A pessoa responsável por assegurar que a empresa cumpre as suas obrigações legais e regulamentares.
No local, entrevista o CISO, o responsável pela conformidade e o próprio.
Formação NIS2 para a direção, Lição 3.7: O que acontece durante uma auditoria do regulador- Compliance scope
- O conjunto de entidades e atividades que uma lei abrange e, portanto, as obrigações que se lhes aplicam.
A diferença está na intensidade da aplicação, não no âmbito de conformidade.
Formação NIS2 para a direção, Lição 1.2: Quem está abrangido: entidades essenciais e importantes- confidentiality
- Os dados só são acessíveis às pessoas que devem vê-los; uma perda é uma fuga.
- Conformity assessment
- O processo que um fabricante utiliza para demonstrar que o seu produto cumpre os requisitos do CRA. Os produtos da classe predefinida podem efetuar uma autoavaliação. Os produtos Importantes de Classe I podem efetuar uma autoavaliação utilizando normas harmonizadas. Os produtos Importantes de Classe II exigem um organismo de avaliação da conformidade de terceiros (CAB). O SBOM faz parte da documentação técnica analisada durante a avaliação da conformidade.
- containment
- As ações imediatas tomadas para impedir que um incidente se propague mais.
Espere até segunda-feira e desperdiça sessenta e quatro horas de contenção.
Formação NIS2 para a direção, Lição 3.8: Cenário - Ataque de ransomware numa sexta-feira à tarde. Também em: Lição 3.10- Coordinated vulnerability disclosure
- Um processo em que um investigador de segurança comunica em privado uma vulnerabilidade ao fabricante antes de publicar os pormenores. O anexo I, parte II, ponto (5), do CRA exige que os fabricantes estabeleçam e apliquem uma política de divulgação coordenada de vulnerabilidades (ver também o artigo 13.º, n.º 8). Normalmente implementado através de um ficheiro security.txt e de um contacto de segurança dedicado.
Documentação de conceção e desenvolvimento incluindo a arquitetura, as decisões de conceção, o modelo de ameaças e a política de divulgação coordenada de vulnerabilidades
Fundamentos do SBOM no CRA, Lição 1.3: A regra de conservação de 10 anos e quem obtém acesso- Coverage gap
- O espaço específico entre o que as suas apólices cobrem e o que o regulador pode efetivamente reclamar-lhe; o lugar onde reside a responsabilidade pessoal não segurada.
O fosso entre aquilo que assumiu que a apólice cobria e aquilo que ela de facto cobre é o espaço onde mora a surpresa cara.
Formação NIS2 para a direção, Lição 4.2: Seguro D&O - o que cobre e as exclusões cibernéticas- Crisis declaration
- O ato formal que coloca a empresa em modo de resposta a incidentes e que só o órgão de administração pode autorizar.
- crisis management
- Uma equipa de crise designada, com poder de decisão pré-atribuído e um plano documentado; a NIS2 enumera a gestão de crises a par da continuidade de negócio no artigo 21.º, n.º 2, alínea c).
- critical asset
- Um ativo cuja perda causaria danos significativos à empresa; priorizado na BIA.
- Critical sectors
- Setores que a UE considera essenciais para a sociedade e a economia, enumerados nos anexos I e II da NIS2.
Um único conjunto de regras à escala da UE sobre como as empresas de setores críticos se protegem contra ciberataques e o que devem fazer quando algo corre mal.
Formação NIS2 para a direção, Lição 1.1: O que é a NIS2 e porque existe- critical vulnerability
- Uma fraqueza num sistema classificada com o nível de gravidade mais elevado; o CIR espera que as vulnerabilidades críticas para as operações sejam tratadas sem demora injustificada (6.10.2(c)).
- Cross-border impact
- O efeito de um incidente sobre serviços ou entidades noutros Estados-Membros da UE.
A causa raiz, as medidas de mitigação aplicadas e qualquer impacto transfronteiriço.
Formação NIS2 para a direção, Lição 1.11: A cascata de notificação e os incidentes significativos- Cryptography
- A utilização de cifragem e técnicas conexas para proteger a confidencialidade e a integridade dos dados.
Pessoas e acessos: (g) higiene cibernética e formação do pessoal, (h) políticas de criptografia, (i) segurança dos recursos humanos, controlo de acessos e gestão de ativos, e (j) autenticação multifator e comunicações seguras.
Formação NIS2 para a direção, Lição 1.9: As dez medidas: visão geral- CSIRT
- Computer Security Incident Response Team, um organismo nacional (um Estado-Membro pode ter vários) que trata incidentes; as comunicações são-lhe dirigidas ou, se aplicável, à autoridade competente (artigo 23.º, n.º 1).
- NIS2 Directive Art. 10, §32 BSIG
O artigo 23.o da Diretiva NIS2 exige que as empresas abrangidas comuniquem incidentes significativos ao seu CSIRT nacional ou à autoridade competente.
Formação NIS2 para a direção, Lição 1.11: A cascata de notificação e os incidentes significativos. Também em: Lição 4.5; Formação em exercícios tabletop NIS 2, Lição 1.1- Customer notification
- O seu dever, ao abrigo do artigo 23.º, n.º 1, de informar, se for caso disso, os clientes afetados sobre um incidente significativo, distinto do seu dever de comunicação ao regulador.
Se não conseguirem responder, parta do pior cenário e prepare a notificação dos clientes.
Formação NIS2 para a direção, Lição 3.9: Cenário - Violação num fornecedor que afeta os dados dos seus clientes- customer notification duty
- A obrigação legal de informar os clientes afetados, se for caso disso, sobre um incidente significativo suscetível de afetar negativamente o serviço que recebem.
O dever de notificação aos clientes nos termos do Artigo 23(1), que recai sobre si de qualquer forma.
Formação NIS2 para a direção, Lição 4.1: O seguro não substitui os controlos- CVE
- Common Vulnerabilities and Exposures. O identificador normalizado para vulnerabilidades de cibersegurança conhecidas publicamente. Formato: CVE-YEAR-NUMBER (por exemplo, CVE-2021-44228 para o Log4Shell). Um SBOM ligado a uma base de dados de CVE indica quais vulnerabilidades conhecidas afetam o seu produto.
Cada entrada de vulnerabilidade referencia uma CVE e o componente que afeta.
Fundamentos do SBOM no CRA, Lição 2.1: CycloneDX: o formato SBOM orientado para a segurança. Também em: Lição 1.1; Lição 3.2- Cyber hygiene
- Práticas de segurança básicas (correções, gestão de palavras-passe, sensibilização) que reduzem o risco quotidiano.
Pessoas e acessos: (g) higiene cibernética e formação do pessoal, (h) políticas de criptografia, (i) segurança dos recursos humanos, controlo de acessos e gestão de ativos, e (j) autenticação multifator e comunicações seguras.
Formação NIS2 para a direção, Lição 1.9: As dez medidas: visão geral. Também em: Lição 2.12- Cyber insurance
- Uma apólice que paga após um incidente, cobrindo algumas perdas financeiras, sujeita a exclusões.
A Mondelez tinha uma apólice de cibersegurança junto da Zurich Insurance nesse montante.
Formação NIS2 para a direção, Lição 4.1: O seguro não substitui os controlos. Também em: Lição 4.3; Lição 4.4- CycloneDX
- Uma norma de SBOM da OWASP em formato JSON ou XML. Orientada para a segurança: construída em torno do acompanhamento de vulnerabilidades, das declarações VEX e da integração com CVE. A versão atual é a 1.7. O CRA não indica um formato preferido (o anexo I, parte II, ponto (1), pede um formato de uso comum e legível por máquina), mas o CycloneDX corresponde diretamente aos fluxos de trabalho de gestão de vulnerabilidades.
Os formatos CycloneDX e SPDX preenchem essa lacuna.
Fundamentos do SBOM no CRA, Lição 1.1: O que faz parte de um SBOM: componentes, versões e identificadores. Também em: Lição 0.1; Lição 2.1; Lição 2.2; Lição 4.1
D
- D&O insurance
- Seguro de responsabilidade de administradores e diretores; um produto distinto do seguro cibernético, que cobre as ações de responsabilidade pessoal contra o órgão de administração.
E a responsabilidade pessoal nos termos do Artigo 20(1) é coberta pelo seguro D&O, não pelo seguro de cibersegurança, porque são produtos diferentes.
Formação NIS2 para a direção, Lição 4.1: O seguro não substitui os controlos. Também em: Lição 4.3- deductible
- O montante que o segurado deve pagar do seu bolso antes de a cobertura começar.
- Digital infrastructure entities
- Os tipos de entidade a que o CIR 2024/2690 se aplica diretamente (as «entidades relevantes» do seu artigo 1.º): prestadores de DNS, registos de TLD, prestadores de serviços de nuvem, centros de dados, CDN, prestadores de serviços geridos (MSP), prestadores de serviços de segurança geridos (MSSP), mercados em linha, motores de pesquisa, redes sociais e prestadores de serviços de confiança. Não é idêntico ao setor «infraestrutura digital» da NIS 2, que abrange também os pontos de troca de tráfego da internet e os prestadores de telecomunicações.
O CIR 2024/2690 (o Regulamento de Execução da Comissão que dá detalhe técnico às entidades de infraestrutura digital) é mais direto.
Formação em exercícios tabletop NIS 2, Lição 0.1: O que é um exercício de simulação e porque a NIS 2 o exige- Direct reporting line
- A estrutura organizacional que dá a pelo menos uma pessoa uma linha direta para o órgão de administração em matéria de cibersegurança, exigida para os tipos de prestadores abrangidos pelo Regulamento de Execução (UE) 2024/2690 (anexo 1.2.3) e verificada pelos auditores.
Se a empresa tiver depois um incidente, a ausência de uma linha de reporte direta é prova de que o órgão de gestão não estava a supervisionar adequadamente o programa de cibersegurança.
Formação NIS2 para a direção, Lição 3.6: CISO e linhas de reporte ao conselho de supervisão- Directive
- Uma lei da UE que indica a cada país o resultado a alcançar; cada país redige a sua própria lei nacional para a aplicar.
O nome formal é Diretiva (UE) 2022/2555, a Diretiva NIS2.
Formação NIS2 para a direção, Lição 1.1: O que é a NIS2 e porque existe. Também em: Lição 0.1- Directors and officers liability insurance
- O produto vendido para proteger os membros do conselho de administração contra reclamações por má gestão; cobre normalmente pedidos de indemnização por violações de deveres, mas não as coimas aplicadas à empresa nem as violações conscientes.
O secretário da sua administração reencaminha-lhe a cotação de renovação do seguro de responsabilidade dos administradores e dirigentes da empresa.
Formação NIS2 para a direção, Lição 4.2: Seguro D&O - o que cobre e as exclusões cibernéticas- disaster recovery
- Os procedimentos e a infraestrutura que repõem o negócio em funcionamento após um evento importante.
- DPO
- Data Protection Officer (encarregado da proteção de dados). A função regulada nos artigos 37.º a 39.º do GDPR (designação, posição, funções). Vivamente recomendado em qualquer exercício tabletop em que estejam envolvidos dados pessoais.
DPO ou contacto de proteção de dados quando estão envolvidos dados pessoais.
Formação em exercícios tabletop NIS 2, Lição 1.2: Atribuição de funções: quem deve estar presente- Due care
- O grau de atenção e diligência que se espera que um administrador razoável exerça.
Colocar a pergunta e documentar que a colocou já faz parte do padrão de diligência devida.
Formação NIS2 para a direção, Lição 1.3: Sanções e a proibição de exercer funções de direção. Também em: Lição 1.7; Lição 1.8; Lição 3.2- Due diligence
- O trabalho de casa que tem de fazer antes de assinar algo com peso jurídico; o padrão que determina se a sua aprovação é defensável.
- Duty of legality
- O dever específico de um administrador de cumprir a lei aplicável, que se sobrepõe à Business Judgment Rule: não é permitido qualquer juízo sobre se deve cumprir um dever legal.
O princípio chama-se dever de legalidade: um administrador tem de cumprir a lei aplicável, e não é permitido qualquer juízo de negócio sobre se deve ou não cumprir um dever legal.
Formação NIS2 para a direção, Lição 1.8: A business judgment rule não o protege
E
- Early warning
- A primeira fase de comunicação, devida no prazo de vinte e quatro horas após ter tido conhecimento de um incidente significativo.
Primeiro: o alerta precoce.
Formação NIS2 para a direção, Lição 1.11: A cascata de notificação e os incidentes significativos. Também em: Lição 3.8; Formação em exercícios tabletop NIS 2, Lição 1.1; Formação em exercícios tabletop NIS 2, Lição 2.1- Encryption at rest
- Cifrar os dados armazenados (em disco, numa base de dados ou numa cópia de segurança) para que o furto físico não os exponha.
Cifragem em repouso significa que os dados que estão num disco, numa base de dados ou numa cópia de segurança são baralhados, de modo que quem roube o armazenamento não os consiga ler.
Formação NIS2 para a direção, Lição 2.13: Medida 8 - Criptografia- Encryption in transit
- Cifrar os dados em trânsito entre sistemas para que a interceção não os exponha.
Cifragem em trânsito significa que os dados que circulam entre sistemas são baralhados, de modo que quem intercete o tráfego não os consiga ler.
Formação NIS2 para a direção, Lição 2.13: Medida 8 - Criptografia- ENISA
- Agência da União Europeia para a Cibersegurança. Recebe as comunicações de vulnerabilidades e de incidentes previstas no artigo 14.º do CRA, juntamente com a CSIRT designada como coordenadora, através da Plataforma Única de Comunicação (operacional desde 11 de setembro de 2026). Nos termos do artigo 23.º da NIS 2, as entidades comunicam à sua CSIRT ou autoridade competente, e não à ENISA; a ENISA recebe dos organismos nacionais informações sobre incidentes transfronteiriços e relatórios de síntese trimestrais.
- ENISA registry
- O registo que a ENISA mantém nos termos do artigo 27.º da NIS2 de prestadores de serviços de DNS, registos de nomes de TLD, entidades que prestam serviços de registo de nomes de domínio, prestadores de serviços de computação em nuvem e de serviços de centro de dados, fornecedores de redes de distribuição de conteúdos, prestadores de serviços geridos e de serviços de segurança geridos, bem como prestadores de serviços de mercados em linha, de motores de pesquisa em linha e de plataformas de serviços de redes sociais, alimentado pelas informações dos pontos de contacto únicos.
- Essential entity
- Uma grande empresa num setor do anexo I, ou determinados prestadores, como os prestadores de serviços de DNS, independentemente da dimensão, sujeita a supervisão proativa.
- §28(1), §61(5), §65(5) BSIG, NIS2 Directive Art. 3(1)
Se for classificado como entidade Essencial, o regulador pode auditá-lo sempre que decidir, sem motivo, sem incidente e sem queixa.
Formação NIS2 para a direção, Lição 1.2: Quem está abrangido: entidades essenciais e importantes- Exclusion
- Uma categoria nomeada de perda que a apólice não cobre (atos de guerra, vulnerabilidades preexistentes, sanções).
O seguro distribui a perda financeira depois do facto, e apenas a perda financeira, sujeita às exclusões que os advogados da seguradora escreveram.
Formação NIS2 para a direção, Lição 4.1: O seguro não substitui os controlos. Também em: Lição 4.2- exclusion clause
- A formulação contratual específica que retira uma categoria de perda da cobertura.
O caso Mondelez prova o padrão: mesmo uma apólice de cem milhões de dólares pode ser recusada ao abrigo de uma única cláusula de exclusão quando a seguradora decide que o ataque se qualifica como um ato de guerra.
Formação NIS2 para a direção, Lição 4.1: O seguro não substitui os controlos. Também em: Lição 4.4- exfiltration
- O ato de roubar dados dos seus sistemas; o ponto em que a contenção pode transformar-se numa obrigação de notificação.
Terceira pergunta: houve exfiltração de dados?
Formação NIS2 para a direção, Lição 3.10: Cenário - Phishing bem-sucedido: significativo ou não?
F
- Fiduciary duty
- A obrigação legal de um administrador de agir no melhor interesse da empresa.
- Final report
- A terceira fase de comunicação, devida o mais tardar um mês após a notificação de incidente, abrangendo a causa de raiz, a mitigação e o impacto transfronteiriço.
Terceiro: o relatório final.
Formação NIS2 para a direção, Lição 1.11: A cascata de notificação e os incidentes significativos. Também em: Formação em exercícios tabletop NIS 2, Lição 1.1; Formação em exercícios tabletop NIS 2, Lição 2.1- forensics
- A investigação técnica de um incidente cibernético para determinar a causa, o âmbito e o impacto.
Nove: contratação de peritos forenses externos ou de aconselhamento jurídico em incidentes graves.
Formação NIS2 para a direção, Lição 3.5: O que não pode delegar - a lista de verificação. Também em: Lição 3.8; Lição 3.10; Lição 4.3
G
- Good-faith disclosure
- O ato de comunicar ao regulador uma lacuna antes de a encontrar, o que os reguladores ponderam como fator atenuante nas decisões coercivas.
A divulgação de boa-fé resulta normalmente numa ordem de remediação ou num aviso, não numa coima.
Formação NIS2 para a direção, Lição 3.11: Cenário - Descoberta de uma lacuna antes da auditoria- Grype
- Um scanner de vulnerabilidades de código aberto da Anchore. Recebe um SBOM como entrada e compara os componentes com a NVD, a GitHub Advisory Database e outras fontes de vulnerabilidades. A ferramenta que transforma um SBOM em monitorização contínua de vulnerabilidades, o que apoia os deveres de tratamento de vulnerabilidades do anexo I, parte II, e ajuda a detetar vulnerabilidades que possam desencadear uma notificação nos termos do artigo 14.º.
Grype da Anchore é a ferramenta padrão para o ciclo de monitorização.
Fundamentos do SBOM no CRA, Lição 3.2: Manter o seu SBOM atualizado e monitorizar vulnerabilidades. Também em: Lição 2.1; Lição 4.1
H
- hardware token
- Um dispositivo físico (por exemplo, YubiKey) que gera ou armazena um segundo fator de autenticação.
- Hash
- Uma impressão digital de comprimento fixo de um ficheiro calculada por um algoritmo como o SHA-256. Incluir um hash para cada componente do SBOM permite verificar que o componente não foi adulterado desde a geração do SBOM. Tanto o CycloneDX como o SPDX suportam hashes por componente.
Um hash é uma impressão digital de comprimento fixo do ficheiro do componente.
Fundamentos do SBOM no CRA, Lição 1.1: O que faz parte de um SBOM: componentes, versões e identificadores- Holding statement
- Um reconhecimento factual curto, emitido cedo, antes de se conhecerem todos os factos, que dá tempo para os apurar bem sem dar a impressão de silêncio.
Segunda: emitir uma declaração inicial no prazo de duas horas.
Formação NIS2 para a direção, Lição 4.5: As primeiras 48 horas de comunicação de crise- Hot wash
- A reunião de balanço logo após o exercício. Mesma sala, mesmo dia, cerca de vinte minutos. Quatro rondas: o que correu bem, o que correu mal, o que nos surpreendeu, o que precisa de mudar.
A orientação pertence ao debriefing depois do exercício.
Formação em exercícios tabletop NIS 2, Lição 1.3: A separação entre facilitador e participante. Também em: Lição 2.2; Lição 2.3
I
- Impact
- Quão grave seria se o evento ocorresse, medido em dinheiro, tempo de inatividade, clientes ou dano.
Essa exposição mede-se com dois números: a probabilidade, ou seja, com que frequência um evento mau pode acontecer, e o impacto, ou seja, quanto lhe custaria se acontecesse, medido em dinheiro, paragem de atividade, clientes ou danos.
Formação NIS2 para a direção, Lição 2.1: Risco = Probabilidade x Impacto- Important entity
- Uma empresa num setor do anexo I ou II que é abrangida mas não é essencial: de média dimensão no anexo I, de média ou grande dimensão no anexo II. Está sujeita a supervisão reativa.
- §28(2), §62, §65(5) BSIG, NIS2 Directive Art. 3(2)
Se for classificado como entidade Importante, o regulador só o audita quando algo o desencadeia, um incidente, uma queixa, uma denúncia.
Formação NIS2 para a direção, Lição 1.2: Quem está abrangido: entidades essenciais e importantes- Improvement item
- Um ponto de ação que resulta do balanço. Tem uma descrição, um responsável, um prazo, uma ligação à medida do artigo 21(2) na qual colmata uma lacuna, e um critério de conclusão claro.
Cada um torna-se um improvement item com um responsável, um prazo e uma ligação à medida relevante do Artigo 21(2).
Formação em exercícios tabletop NIS 2, Lição 2.2: O balanço a quente (hot wash)- In scope
- Sujeito aos requisitos da lei; a empresa enquadra-se nos critérios de abrangência.
- Incident contact
- A pessoa que a sua empresa designa para comunicar com o regulador em caso de incidente de segurança. Dado o prazo de 24 horas para o alerta precoce, é boa prática planear também a sua disponibilidade fora do horário de expediente.
- Incident handling
- Os procedimentos para detetar, responder e recuperar de incidentes de segurança.
Incidentes e continuidade: (b) tratamento de incidentes e (c) continuidade do negócio.
Formação NIS2 para a direção, Lição 1.9: As dez medidas: visão geral- Incident notification
- A segunda fase de comunicação, devida no prazo de setenta e duas horas, com a gravidade, o impacto e os indicadores de compromisso.
Segundo: a notificação de incidente.
Formação NIS2 para a direção, Lição 1.11: A cascata de notificação e os incidentes significativos. Também em: Formação em exercícios tabletop NIS 2, Lição 1.1; Formação em exercícios tabletop NIS 2, Lição 2.1- incident response plan
- O procedimento documentado para detetar, conter e recuperar de um incidente de segurança.
Se não souber a resposta a todas as três antes de a chamada acontecer, o seu plano de resposta a incidentes já falhou.
Formação NIS2 para a direção, Lição 2.7: Medida 2 - Tratamento de incidentes. Também em: Lição 3.8; Lição 4.6- Indemnification
- Uma cláusula contratual que exige que a parte culpada o compense pelos custos causados pela sua falha.
Em concreto: prazos de notificação de incidentes, direitos de auditoria, indemnização.
Formação NIS2 para a direção, Lição 3.9: Cenário - Violação num fornecedor que afeta os dados dos seus clientes- Indicators of compromise
- Artefactos técnicos (endereços IP, hashes, domínios) que comprovam uma violação de segurança.
Uma avaliação atualizada que inclua a gravidade, o impacto e, quando disponível, os indicadores de comprometimento.
Formação NIS2 para a direção, Lição 1.11: A cascata de notificação e os incidentes significativos- Information security policy
- O documento de segurança de nível mais elevado, que se sobrepõe a todas as outras regras de segurança da empresa; o primeiro documento que o auditor lê.
O documento de topo chama-se política de segurança da informação.
Formação NIS2 para a direção, Lição 2.6: Medida 1 - Análise de riscos e políticas de segurança da informação. Também em: Lição 3.2- Initial compromise
- O momento mais antigo em que um atacante entrou no seu ambiente. Os operadores de ransomware permanecem muitas vezes dias, por vezes semanas, antes de cifrarem seja o que for. O ponto de restauro certo é anterior a este momento, e não apenas à cifragem.
Resposta certa: A cópia de segurança mais recente que seja anterior ao comprometimento inicial, confirmada como limpa pela equipa de perícia forense.
Formação em exercícios tabletop NIS 2, Lição 2.1: Um cenário completo: ransomware no ERP- Insider threat
- Um risco com origem no interior da organização, em trabalhadores, prestadores ou parceiros.
Ataques informáticos, intrusões físicas, incêndios, inundações, cortes de energia, falhas de fornecedores, ameaças internas e erro humano estão todos abrangidos.
Formação NIS2 para a direção, Lição 1.10: Abordagem de todos os riscos e estado da arte- integrity
- Os dados são exatos e não adulterados; uma perda é uma corrupção.
- Intermediate report
- Uma atualização de estado ao abrigo do artigo 23(4)(c) NIS 2 enviada a pedido do CSIRT. Sem prazo fixo. Responde quando lhe for solicitado.
O Artigo 23(4)(c) diz que o CSIRT pode solicitar um relatório intercalar quando quiser.
Formação em exercícios tabletop NIS 2, Lição 1.1: A cascata de notificação do artigo 23 que o seu exercício deve ensaiar- Internal controls
- Os processos e salvaguardas que uma empresa mantém para assegurar a conformidade e gerir o risco.
A alegação foi a de que faltavam controlos internos e divulgações legalmente exigidos.
Formação NIS2 para a direção, Lição 1.8: A business judgment rule não o protege- ISMS
- Information Security Management System: o conjunto completo de políticas, processos e pessoas que gerem a segurança.
O conjunto completo de documentos, pessoas e ciclos de revisão à volta deles é aquilo a que o seu CISO chama um ISMS, um Sistema de Gestão de Segurança da Informação.
Formação NIS2 para a direção, Lição 2.6: Medida 1 - Análise de riscos e políticas de segurança da informação- IT-Grundschutz
- A metodologia de cibersegurança do próprio BSI: um quadro abrangente de módulos de segurança (Bausteine) com orientações de implementação passo a passo. Para as empresas não é obrigatória: o BSI afirma que uma certificação IT-Grundschutz pode facilitar a prova de conformidade com a NIS2, mas tem de ser confrontada com as medidas exigidas pelo §30 BSIG e completada quando necessário. O §44(2) BSIG considera que os requisitos mínimos baseados no Grundschutz cumprem o §30, mas apenas para as entidades da administração federal.
- BSI-Standards 200-1 through 200-4; §44(2) BSIG applies to federal administration entities only
J
- Joiner-mover-leaver
- O processo de conceder acesso na admissão, ajustar na mudança de papel e revogar na saída.
O processo que liga RH e TI ao longo de todo o ciclo de vida do colaborador (entrada, mudança de função e saída) chama-se processo de entrada, mudança e saída.
Formação NIS2 para a direção, Lição 2.14: Medida 9 - Segurança de RH, controlo de acessos e gestão de ativos
K
- Key management
- Gerar, armazenar, rodar e destruir as chaves criptográficas que fazem a cifragem funcionar; o ponto em que a criptografia mais frequentemente falha.
A Gestão de chaves decide se a cifragem é sólida ou oca.
Formação NIS2 para a direção, Lição 2.13: Medida 8 - Criptografia- Key performance indicator
- As métricas que mostram se os controlos de segurança estão a funcionar conforme concebidos.
As reuniões de reporte têm de ser regulares, documentadas e conter conteúdo específico: KPIs, KRIs, resumo de incidentes, estado do orçamento, panorama de ameaças e decisões que necessitem de escalonamento.
Formação NIS2 para a direção, Lição 3.6: CISO e linhas de reporte ao conselho de supervisão- Key risk indicator
- As métricas que mostram onde se situa a exposição cibernética da empresa num dado momento e como está a evoluir.
As reuniões de reporte têm de ser regulares, documentadas e conter conteúdo específico: KPIs, KRIs, resumo de incidentes, estado do orçamento, panorama de ameaças e decisões que necessitem de escalonamento.
Formação NIS2 para a direção, Lição 3.6: CISO e linhas de reporte ao conselho de supervisão- key rotation
- Substituir as chaves criptográficas segundo um calendário para limitar o dano caso uma chave seja comprometida.
- KPI
- Key Performance Indicator: mede o desempenho de um processo de segurança (por exemplo, a percentagem de correções aplicadas a tempo).
Os KPI, Key Performance Indicators, medem o desempenho de um processo (por exemplo, que percentagem de patches foi aplicada a tempo).
Formação NIS2 para a direção, Lição 2.11: Medida 6 - Avaliação da eficácia- KRI
- Key Risk Indicator: mede quanto risco a empresa está atualmente a suportar (por exemplo, o número de vulnerabilidades críticas em aberto).
Os KRI, Key Risk Indicators, medem o nível de risco que está atualmente a suportar (por exemplo, quantas vulnerabilidades críticas estão neste momento por resolver).
Formação NIS2 para a direção, Lição 2.11: Medida 6 - Avaliação da eficácia- KRITIS
- Operadores de instalações críticas que ultrapassam os limiares definidos no regulamento BSI-KritisV (tipicamente 500 000 pessoas servidas). Os operadores KRITIS são automaticamente classificados como entidades essenciais (no BSIG: besonders wichtige Einrichtungen) e estão sujeitos a obrigações adicionais para além das da NIS2 comum: comprovação das suas medidas de três em três anos, sistemas de deteção de ataques obrigatórios e conteúdo adicional nos relatórios de incidente (tipo de instalação e serviço crítico). Os prazos de comunicação são os mesmos que para as outras entidades.
- §2 No. 22, §28(1), §31(2), §32(3), §39 BSIG; §2 No. 3 KRITISDachG; BSI-KritisV
L
- Layered insurance
- A abordagem de combinar apólices D&O, cibernéticas e de defesa jurídica para fechar a lacuna entre elas.
- Least privilege
- O princípio de que cada utilizador tem apenas o acesso de que necessita para o seu trabalho: nem mais, nem menos.
- Leitfragen
- O termo alemão para as perguntas estruturadas do capítulo 3 do documento de apoio à formação, não vinculativo, que o BSI dirige aos órgãos de administração (§ 38 Abs. 3 BSIG).
O seu auditor ou consultor chamará a esta lista as BSI Leitfragen.
Formação NIS2 para a direção, Lição 3.1: As perguntas que todo CEO tem de responder- Lessons learned
- O documento escrito, elaborado após o incidente, que regista a causa de raiz e atualiza o plano; a DER.2.1.A17 indica que a direção deve (SOLLTE) ser informada sobre os incidentes todos os anos.
Tem cinco partes, e o auditor verifica se as cinco existem e foram testadas: deteção (como se apercebe de que algo está errado), classificação (qual a gravidade e se ultrapassa o limiar de notificação da Lição 1.11), resposta (quem faz o quê, e por que ordem), recuperação (como restabelece o serviço, o que se liga à Medida 3, continuidade de negócio) e lições aprendidas (o que aconteceu, porquê, e o que muda em resultado disso).
Formação NIS2 para a direção, Lição 2.7: Medida 2 - Tratamento de incidentes- Likelihood
- Com que frequência um evento adverso pode ocorrer num dado período.
Essa exposição mede-se com dois números: a probabilidade, ou seja, com que frequência um evento mau pode acontecer, e o impacto, ou seja, quanto lhe custaria se acontecesse, medido em dinheiro, paragem de atividade, clientes ou danos.
Formação NIS2 para a direção, Lição 2.1: Risco = Probabilidade x Impacto
M
- malware
- Software malicioso concebido para danificar, perturbar ou obter acesso não autorizado a sistemas.
Em 2017, a empresa alimentar Mondelez foi atingida pelo malware NotPetya e sofreu cerca de cem milhões de dólares em danos.
Formação NIS2 para a direção, Lição 4.1: O seguro não substitui os controlos- Management approval
- O ato formal de o órgão de administração aprovar as medidas de gestão de risco de cibersegurança, como exige o artigo 20.º, n.º 1, criando um registo datado de consentimento informado.
- Management body
- A equipa de direção da empresa: o CEO, os gerentes, os membros do conselho de administração executivo e todas as pessoas chamadas pela lei ou pelos estatutos a gerir o negócio e a representar a empresa.
- § 2 No. 13 BSIG
A diretiva cria responsabilização pessoal para o órgão de administração, razão pela qual a equipa de liderança, e não apenas a TI, é interpelada diretamente.
Formação NIS2 para a direção, Lição 1.1: O que é a NIS2 e porque existe. Também em: Lição 0.1; Lição 1.5; Formação em exercícios tabletop NIS 2, Lição 0.1; Formação em exercícios tabletop NIS 2, Lição 1.2- Management body training
- O dever de formação criado pelo artigo 20.º, n.º 2, distinto da formação de sensibilização que os seus trabalhadores recebem; uma obrigação pessoal de cada membro do órgão de administração.
- Management liability
- A responsabilidade pessoal da direção da empresa (Geschäftsführung) perante a sua própria empresa pelo cumprimento da NIS2 nos termos do §38 BSIG. A direção tem de implementar as medidas de gestão de risco nos termos do §30, supervisionar a sua implementação e frequentar formação regular em cibersegurança (§38(1) e (3)). A violação dos deveres de implementação e de supervisão torna a direção responsável perante a empresa pelos danos causados com culpa, segundo as regras de direito das sociedades aplicáveis à respetiva forma jurídica (§38(2)). O dever de aprovar essas medidas está previsto no artigo 20.º, n.º 1, da NIS 2; o §38(1) refere apenas implementar e supervisionar. Se a empresa pode renunciar a essas pretensões depende desse direito das sociedades; o §38 nada diz a esse respeito. É esta a disposição que leva a cibersegurança do departamento de TI para a mesa da administração.
- §38(1)-(3) BSIG
- management review
- Uma avaliação regular em que o órgão de administração analisa a postura de segurança da organização; o BSI-Standard 200-1 (secção 4.3) recomenda-a como parte de um sistema de gestão da segurança da informação.
A Norma BSI 200-1, Secção 7.4, fixa isto como a única frequência anual obrigatória no referencial: a revisão pela gestão formal em que o órgão de gestão, ou seja, o senhor, se senta e avalia se todo o programa de segurança ainda funciona.
Formação NIS2 para a direção, Lição 2.4: Por que a gestão do risco é contínua. Também em: Lição 2.11; Lição 3.3; Lição 5.1- Management review protocol
- O documento datado e assinado que regista o que foi revisto, o que foi decidido e quem é responsável por cada ação de seguimento da revisão anual pela direção.
A revisão pela gestão é um documento datado e assinado, o protocolo da revisão pela gestão, que regista o que foi analisado, o que foi decidido e quem é responsável por cada ação de seguimento.
Formação NIS2 para a direção, Lição 2.11: Medida 6 - Avaliação da eficácia- Manager ban
- O poder, ao abrigo do artigo 32.º, n.º 5, alínea b), e apenas para entidades essenciais, de fazer proibir temporariamente a pessoa a nível de diretor executivo ou representante legal de exercer funções de gestão nessa entidade quando as ordens do regulador são ignoradas depois de expirado o prazo fixado.
Se uma entidade essencial não os cumprir, o regulador pode pedir uma proibição de gestão temporária ao abrigo do artigo 32(5)(b), que dura até as lacunas estarem corrigidas.
Formação NIS2 para a direção, Lição 1.3: Sanções e a proibição de exercer funções de direção- Mandatory incident reporting
- O seu dever legal de notificar o regulador de um incidente significativo dentro da cascata de 24 horas / 72 horas / um mês definida no artigo 23.º.
- MUK
- A conta empresarial central da Alemanha para serviços da administração federal, autenticada através de certificados ELSTER. É um pré-requisito para o registo no BSI: as empresas têm primeiro de criar uma conta MUK e depois aceder ao portal de registo do BSI através dela. Se ainda não tem uma conta MUK, não se pode registar junto do BSI: este é o primeiro passo prático antes de qualquer trabalho de conformidade começar.
- OZG, ELSTER
- Multi-factor authentication
- Um controlo de segurança que exige dois ou mais fatores de verificação para aceder a um sistema.
Se aprovou a autenticação multifator para os inícios de sessão do pessoal, utiliza autenticação multifator.
Formação NIS2 para a direção, Lição 1.5: O seu dever de aprovar e supervisionar. Também em: Lição 1.9- Multi-factor authentication (MFA)
- Um início de sessão que exige dois ou mais fatores de verificação, como uma palavra-passe mais um token de hardware ou um telemóvel; a NIS2 pede-o quando adequado (artigo 21.º, n.º 2, alínea j)), e o CIR refere as contas privilegiadas e a classificação do ativo acedido (11.3.2, 11.7.1).
- §30(2)(10) BSIG
A maior causa do sucesso dos roubos de conta é que a autenticação multifator não estava ativada.
Formação NIS2 para a direção, Lição 2.15: Medida 10 - Autenticação multifator e comunicações seguras
N
- NACE code
- A Classificação Estatística das Atividades Económicas na Comunidade Europeia (Nomenclature statistique des Activités économiques dans la Communauté Européenne). A NIS2 e o BSIG remetem para os códigos NACE Rev. 2 apenas para alguns tipos de entidade, como as atividades farmacêuticas, químicas e certas atividades de fabrico. A maioria dos setores é definida pelo tipo de atividade. O BSI não lhe diz se está no âmbito de aplicação; tem de o verificar por si.
- Regulation (EC) No 1893/2006 (NACE Rev. 2); NIS2 Annex I point 5 and Annex II point 5; Anlage 1 and 2 BSIG
- named insured
- A pessoa ou entidade específica indicada numa apólice como sendo a protegida pela cobertura.
Essa reclamação pessoal tem de ser defendida por uma apólice que o identifique a si pessoalmente como segurado nomeado.
Formação NIS2 para a direção, Lição 4.3: Seguro cibernético vs D&O - produtos diferentes, coberturas diferentes- nation-state
- Um país que atua através dos seus serviços de informações ou militares para conduzir operações cibernéticas.
A exclusão de atos de guerra ou de ataque de Estado-nação: a Lloyd's restringiu esta redação em 2023, na sequência do caso Mondelez.
Formação NIS2 para a direção, Lição 4.4: Exclusões de apólice comuns a que estar atento- NIS2 Annex I: High-criticality sectors
- A lista de setores cujas entidades são classificadas como 'essenciais' (entidades essenciais) quando excedem os limites das médias empresas, isto é, são grandes empresas; as entidades de média dimensão nestes setores são entidades importantes. No BSIG, a classe essencial chama-se 'besonders wichtige Einrichtungen'. Inclui: energia (eletricidade, petróleo, gás, hidrogénio, aquecimento urbano), transportes (aéreo, ferroviário, por água, rodoviário), setor bancário, infraestruturas do mercado financeiro, saúde, água potável, águas residuais, infraestrutura digital, gestão de serviços de TIC, administração pública e espaço.
- NIS2 Directive Annex I and Art. 3(1)(a), Anlage 1 and §28(1) BSIG
- NIS2 Annex II: Other critical sectors
- A lista de setores cujas entidades são classificadas como 'importantes' (wichtige Einrichtungen) quando cumprem o limiar de dimensão. Inclui: serviços postais e de correio, gestão de resíduos, fabrico e distribuição de produtos químicos, produção e distribuição de alimentos, fabrico (dispositivos médicos, eletrónica, maquinaria, veículos), prestadores digitais (mercados em linha, motores de pesquisa, redes sociais) e organizações de investigação.
- Diretiva NIS2 Anexo II, §28(2) BSIG
- NIS2 Directive
- A Diretiva (UE) 2022/2555, a lei de cibersegurança a nível da UE para entidades essenciais e importantes.
- Directive (EU) 2022/2555
O nome formal é Diretiva (UE) 2022/2555, a Diretiva NIS2.
Formação NIS2 para a direção, Lição 1.1: O que é a NIS2 e porque existe- NIS2UmsuCG
- A transposição nacional da Diretiva NIS2 pela Alemanha, oficialmente a 'Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung', chamada nos projetos Lei de Implementação da NIS-2 e de Reforço da Cibersegurança. Aprovada pelo Bundestag a 13 de novembro de 2025, publicada a 5 de dezembro de 2025 e em vigor desde 6 de dezembro de 2025. Introduz um novo BSIG e traz as obrigações da NIS2 para o direito alemão. Quando a lei alemã se refere ao 'cumprimento da NIS2', refere-se ao cumprimento do BSIG.
- Act of 2 December 2025, BGBl. 2025 I Nr. 301
- non-conformance
- Um incumprimento específico de um requisito legal; a designação formal de um achado.
Uma constatação é uma não conformidade: algo que a lei exige que não tem ou não faz.
Formação NIS2 para a direção, Lição 3.7: O que acontece durante uma auditoria do regulador- Non-delegable
- Não pode ser transferida para outra pessoa nem exercida por outra pessoa em seu nome.
O dever de formação é pessoal e indelegável.
Formação NIS2 para a direção, Lição 1.6: O seu dever de formação. Também em: Lição 0.1; Lição 4.6- Non-delegable duty
- Um dever que a lei atribui ao próprio órgão de administração: aprovar e supervisionar as medidas de gestão de risco (artigo 20.º, n.º 1). O CISO ou a equipa de conformidade podem preparar e executar o trabalho, mas a responsabilidade continua a ser da direção.
Quando a linha for difusa, trate a decisão como não delegável e assine-a você mesmo.
Formação NIS2 para a direção, Lição 3.5: O que não pode delegar - a lista de verificação- Notification clause
- A cláusula que exige que informe o segurador num prazo curto, sob pena de correr o risco de perder a cobertura.
A cláusula de notificação tardia: anula a cobertura se apresentar a reclamação à seguradora após o prazo estrito da apólice.
Formação NIS2 para a direção, Lição 4.4: Exclusões de apólice comuns a que estar atento- notification window
- O prazo estrito dentro do qual um sinistro deve ser comunicado ao segurador.
O
- Observation
- Uma área que o auditor assinala para melhoria e que não constitui uma infração legal; por si só não dá origem a qualquer sanção, mas a autoridade pode ordenar a implementação das recomendações da auditoria (artigos 32.º, n.º 4, alínea f), e 33.º, n.º 4, alínea f)), e ignorá-la convida a um achado na próxima vez.
Uma observação é uma área que fica abaixo das boas práticas mas não viola a lei.
Formação NIS2 para a direção, Lição 3.7: O que acontece durante uma auditoria do regulador- OFAC
- Office of Foreign Assets Control; o gabinete do Tesouro dos EUA que administra as listas de sanções.
A análise da OFAC decorreu em paralelo com a decisão de pagamento, e não antes dela.
Formação NIS2 para a direção, Lição 4.6: Decisões sobre o pagamento de ransomware- On-site inspection
- A visita física da equipa de auditoria do regulador às suas instalações, autorizada ao abrigo do artigo 32.º, n.º 2, alínea a), para entidades essenciais e do artigo 33.º, n.º 2, alínea a), para entidades importantes.
O BSI envia uma carta a anunciar uma inspeção no local.
Formação NIS2 para a direção, Lição 3.7: O que acontece durante uma auditoria do regulador- orphaned account
- Uma conta de utilizador ativa que já não pertence a um trabalhador atual: um achado de auditoria frequente.
- Out-of-band channel
- Um canal de comunicação de emergência separado dos sistemas normais, utilizado quando esses sistemas estão comprometidos.
Um canal fora de banda (uma ferramenta de mensagens separada, uma linha telefónica dedicada) existe exatamente para esse momento.
Formação NIS2 para a direção, Lição 2.15: Medida 10 - Autenticação multifator e comunicações seguras- Oversight duty
- A obrigação contínua de verificar se as medidas aprovadas estão efetivamente a ser implementadas.
P
- patch
- Uma atualização de software que corrige uma vulnerabilidade conhecida.
- Patch SLA
- O prazo escrito para aplicar correções, definido por nível de gravidade; o CIR pede que as correções sejam aplicadas num prazo razoável, com razões documentadas para qualquer exceção (6.6.1, 6.6.2).
A sua equipa chama a esses prazos patch SLAs.
Formação NIS2 para a direção, Lição 2.10: Medida 5 - Aquisição, desenvolvimento e manutenção- Personal civil liability
- A exposição jurídica de um administrador a pagar indemnizações com o seu património pessoal quando o incumprimento de um dever legal causa culposamente um prejuízo à empresa.
- Personal data
- Qualquer informação sobre uma pessoa singular identificada ou identificável. Definida no artigo 4(1) GDPR.
DPO ou contacto de proteção de dados quando estão envolvidos dados pessoais.
Formação em exercícios tabletop NIS 2, Lição 1.2: Atribuição de funções: quem deve estar presente- personal liability
- Responsabilidade jurídica que recai sobre o administrador individual, para além da empresa.
E a responsabilidade pessoal nos termos do Artigo 20(1) é coberta pelo seguro D&O, não pelo seguro de cibersegurança, porque são produtos diferentes.
Formação NIS2 para a direção, Lição 4.1: O seguro não substitui os controlos- Phishing simulation
- E-mails de phishing simulado enviados periodicamente ao pessoal para testar a sensibilização; parte do programa de formação, com formação de seguimento para quem clicar.
Quantas simulações de phishing é que a sua própria empresa lhe enviou, pessoalmente, nos últimos doze meses?
Formação NIS2 para a direção, Lição 2.12: Medida 7 - Ciber-higiene e formação- Privileged accounts
- Contas de administrador, root e administrador de domínio com acesso privilegiado; exigem uma política dedicada e a sua própria cadência de revisão ao abrigo do anexo 11.3 do CIR.
Além disso, as contas privilegiadas (administradores, acesso root, administradores de domínio) precisam das suas próprias regras com controlos mais fortes.
Formação NIS2 para a direção, Lição 2.14: Medida 9 - Segurança de RH, controlo de acessos e gestão de ativos- Proactive supervision
- O regulador pode auditá-lo sem um motivo específico (aplica-se a entidades essenciais).
A diretiva designa isto por supervisão proativa, ao abrigo do Artigo 32.
Formação NIS2 para a direção, Lição 1.2: Quem está abrangido: entidades essenciais e importantes- Product with digital elements
- Um produto de software ou de hardware e as respetivas soluções de tratamento de dados à distância, incluindo os componentes colocados no mercado separadamente (artigo 3.º, n.º 1, do CRA). O CRA aplica-se aos produtos cuja finalidade prevista ou cuja utilização razoavelmente previsível inclui uma ligação de dados, direta ou indireta, a um dispositivo ou rede (artigo 2.º, n.º 1). Abrange dispositivos físicos com firmware, software autónomo, aplicações e sistemas operativos.
O CRA aplica-se a qualquer produto com elementos digitais, hardware ou software que possa ligar-se, direta ou indiretamente, a outro dispositivo ou rede.
Fundamentos do SBOM no CRA, Lição 0.1: O que é um SBOM e porque o CRA o tornou obrigatório- Progress report
- Utilizado ao abrigo do artigo 23(4)(e) NIS 2 quando o incidente ainda não está resolvido no prazo de um mês. O relatório final segue-se assim que o incidente for encerrado.
Em vez disso, envia um relatório de progresso.
Formação em exercícios tabletop NIS 2, Lição 1.1: A cascata de notificação do artigo 23 que o seu exercício deve ensaiar- Proportionality
- O princípio do artigo 21.º, n.º 1, que adapta aquilo que tem de implementar à sua dimensão, à sua exposição ao risco e à probabilidade e gravidade dos incidentes.
A proporcionalidade no Artigo 21(1) dimensiona a profundidade ao seu tamanho, setor e exposição ao risco.
Formação NIS2 para a direção, Lição 1.9: As dez medidas: visão geral- PURL
- Package URL. Um identificador normalizado para componentes de software: `pkg:type/namespace/name@version`. Por exemplo, `pkg:npm/%40angular/core@17.0.0`. Os PURLs são o identificador único recomendado tanto no CycloneDX como no SPDX, e a âncora prática para ligar um componente do SBOM a uma entrada na base de dados de CVE.
Um PURL (Package URL) é a forma normalizada de identificar um componente de forma única entre registos e bases de dados.
Fundamentos do SBOM no CRA, Lição 1.1: O que faz parte de um SBOM: componentes, versões e identificadores. Também em: Lição 2.1; Lição 2.2; Lição 4.1
R
- ransomware
- Software malicioso que cifra dados e exige pagamento pela chave de decifragem.
A 19 de março de 2019, o ransomware paralisou durante a noite quarenta instalações de produção da Norsk Hydro.
Formação NIS2 para a direção, Lição 3.8: Cenário - Ataque de ransomware numa sexta-feira à tarde. Também em: Lição 4.4; Lição 4.6- RBAC
- Role-Based Access Control: permissões atribuídas por papel funcional, não individualmente.
- reactive supervision
- O poder do regulador de auditar entidades importantes quando desencadeado por um incidente, uma queixa ou informações.
- Recipients of services
- O termo jurídico da diretiva para os clientes da entidade.
O Artigo 23(1) da Diretiva NIS2 determina que, se for caso disso, as entidades notificam os destinatários dos serviços "sem demora injustificada" de incidentes significativos suscetíveis de afetar negativamente a prestação desses serviços.
Formação NIS2 para a direção, Lição 1.12: O dever de notificação dos clientes- Recurring incidents
- Incidentes que, individualmente, não são significativos mas ocorrem pelo menos duas vezes no prazo de seis meses, têm a mesma causa de raiz aparente e, em conjunto, cumprem o critério da perda financeira; contam como um único incidente significativo (artigo 4.º do CIR).
- Recurring incidents rule
- A regra do artigo 4.º do CIR (para os tipos de prestadores que o CIR abrange) que trata como um único incidente significativo os incidentes pequenos com a mesma causa de raiz aparente, ocorridos pelo menos duas vezes no prazo de seis meses, se, no seu conjunto, ultrapassarem o limiar financeiro.
O artigo 4.º acrescenta a regra dos incidentes recorrentes: dois ou mais incidentes em seis meses que partilhem a mesma causa raiz e que, em conjunto, ultrapassem o limiar contam como um único incidente significativo.
Formação NIS2 para a direção, Lição 3.10: Cenário - Phishing bem-sucedido: significativo ou não?- Registration
- O registo administrativo junto do regulador nos termos do artigo 3.º, n.º 4, da NIS2 (na Alemanha, § 33 BSIG, a efetuar no prazo de três meses depois de a empresa passar a ser abrangida pela NIS2).
Se falhar esse prazo, a primeira coisa que o regulador vê ao abrir o seu processo é a falta de registo.
Formação NIS2 para a direção, Lição 1.4: A obrigação de registo- Regulation
- Uma lei da UE que se aplica diretamente em todos os países sem transposição (por exemplo, GDPR, CIR).
A NIS2 é uma diretiva, não um regulamento.
Formação NIS2 para a direção, Lição 1.1: O que é a NIS2 e porque existe- remediation
- O processo de corrigir uma lacuna ou não conformidade identificada durante uma auditoria ou revisão.
Quinto: uma constatação de auditoria que exige correção.
Formação NIS2 para a direção, Lição 3.3: Quando voltar a aprovar. Também em: Lição 3.7; Lição 3.10- Remediation order
- Uma instrução do regulador para corrigir uma lacuna específica dentro de um prazo definido (artigo 32.º, n.º 4, alíneas b) e d)); pode ser acompanhada ou não de uma coima.
A divulgação de boa-fé resulta normalmente numa ordem de remediação ou num aviso, não numa coima.
Formação NIS2 para a direção, Lição 3.11: Cenário - Descoberta de uma lacuna antes da auditoria- Remediation plan
- A resposta escrita da empresa aos achados: ação corretiva, responsável nomeado, prazo e prova de conclusão para cada item.
Desencadeia uma ordem de remediação com um prazo.
Formação NIS2 para a direção, Lição 3.7: O que acontece durante uma auditoria do regulador- removable media
- Pen drives USB, discos rígidos externos e armazenamento portátil semelhante; exige uma política dedicada ao abrigo do CIR.
- Residual risk
- O risco que permanece depois de ter implementado os controlos; aquilo que aprova quando assina o registo de riscos.
O que sobra depois de aplicar os seus controlos chama-se risco residual.
Formação NIS2 para a direção, Lição 2.3: Opções de tratamento do risco e apetite pelo risco. Também em: Lição 3.4; Lição 3.5- Responsible disclosure
- O processo publicado para que investigadores de segurança externos comuniquem falhas à sua empresa.
Há uma quarta parte na mesma cláusula: a divulgação de vulnerabilidades.
Formação NIS2 para a direção, Lição 2.10: Medida 5 - Aquisição, desenvolvimento e manutenção- restore test
- O processo de recuperar dados de uma cópia de segurança para verificar se esta funciona; uma cópia de segurança não testada não é uma cópia de segurança.
- Reverse burden of proof
- A regra do direito das sociedades alemão (por exemplo, § 93(2) AktG) segundo a qual o administrador tem de provar que agiu com diligência, em vez de o autor ter de provar a negligência.
Em muitos países da UE, incluindo a Alemanha, aplica-se a inversão do ónus da prova à responsabilidade do administrador.
Formação NIS2 para a direção, Lição 1.7: Responsabilidade pessoal nos termos do direito nacional das sociedades- Risk acceptance
- Decidir conviver com um risco em vez de o corrigir; nos termos do CIR 2.1.1, aceitam-no o órgão de administração ou, se aplicável, um responsável pelo risco que responda por ele, com comunicação adequada à direção.
- Risk analysis
- O processo de identificar ameaças, avaliar a probabilidade e o impacto e determinar o tratamento.
Fundação: (a) análise de riscos e políticas de segurança da informação, e (f) testes de eficácia.
Formação NIS2 para a direção, Lição 1.9: As dez medidas: visão geral. Também em: Lição 3.2- Risk analysis methodology
- O procedimento documentado para identificar e pontuar riscos; faz parte das políticas da Medida 1 ao abrigo do artigo 21.º, n.º 2, alínea a).
Primeiro, um método escrito que a sua empresa segue para identificar e classificar riscos, a metodologia de análise de risco (a Lição 2.1 abordou a equação que está por trás dela).
Formação NIS2 para a direção, Lição 2.6: Medida 1 - Análise de riscos e políticas de segurança da informação- Risk appetite
- O nível de risco com que a empresa está disposta a viver, definido pelo órgão de administração como o limite dentro do qual o CISO opera.
Mais uma coisa que pertence ao CEO: o apetite de risco, o nível de risco com que a empresa está disposta a conviver no seu conjunto.
Formação NIS2 para a direção, Lição 2.3: Opções de tratamento do risco e apetite pelo risco- Risk assessment
- A avaliação das ameaças e do seu potencial impacto na organização.
Se a sua avaliação de riscos apenas enumerar ataques informáticos, não cumpre o padrão de todos os perigos.
Formação NIS2 para a direção, Lição 1.10: Abordagem de todos os riscos e estado da arte. Também em: Lição 2.1- Risk management cycle
- O ciclo contínuo de identificar, analisar, tratar e monitorizar: nunca para, porque os dados de entrada mudam mais depressa do que uma revisão anual consegue acompanhar.
Se não existir um processo de desencadeamento documentado, o ciclo de gestão de risco não está a funcionar.
Formação NIS2 para a direção, Lição 2.4: Por que a gestão do risco é contínua- Risk matrix
- A grelha que cruza a probabilidade com o impacto; cada risco identificado é colocado nela, e o canto superior direito é onde começa o trabalho do órgão de administração.
Depois desta lição, será capaz de olhar para uma matriz de risco, encontrar o canto que importa e saber onde começa a conversa sobre o orçamento.
Formação NIS2 para a direção, Lição 2.1: Risco = Probabilidade x Impacto- Risk register
- O documento formal que enumera os riscos identificados, as suas avaliações e as decisões de tratamento.
A aprovação datada, o registo de formação, a ata da reunião, o registo de riscos com a sua assinatura: estas são as provas que utiliza para demonstrar o dever de diligência.
Formação NIS2 para a direção, Lição 1.7: Responsabilidade pessoal nos termos do direito nacional das sociedades. Também em: Lição 2.1; Lição 3.5- Risk treatment
- A decisão sobre o que fazer com um risco identificado: evitar, mitigar, transferir ou aceitar.
Sem ela, cada decisão de tratamento de risco torna-se uma discussão em vez de um processo.
Formação NIS2 para a direção, Lição 2.3: Opções de tratamento do risco e apetite pelo risco- Risk-management measures
- As regras, as pessoas e as ferramentas que a sua empresa utiliza para gerir os riscos para as suas redes e sistemas de informação e para limitar o impacto dos incidentes, previstas no artigo 21.º.
- §30(2) BSIG
As nossas medidas de gestão de risco cumprem os requisitos da lei e estão documentadas?
Formação NIS2 para a direção, Lição 3.1: As perguntas que todo CEO tem de responder- Root cause
- A razão subjacente à ocorrência de um incidente.
Dois ou mais incidentes com a mesma causa raiz aparente, ocorridos no prazo de seis meses, que em conjunto ultrapassem o limiar financeiro, são tratados como um único incidente significativo.
Formação NIS2 para a direção, Lição 1.11: A cascata de notificação e os incidentes significativos- RPO
- Recovery Point Objective: a perda máxima aceitável de dados, medida em tempo.
RPO (Recovery Point Objective) é a quantidade de dados que se pode permitir perder.
Formação NIS2 para a direção, Lição 2.8: Medida 3 - Continuidade do negócio- RTO
- Recovery Time Objective: o tempo máximo aceitável para restaurar o serviço após uma perturbação.
RTO (Recovery Time Objective) é a rapidez com que tem de estar novamente operacional.
Formação NIS2 para a direção, Lição 2.8: Medida 3 - Continuidade do negócio
S
- sanctions law
- As regras que proíbem pagar a determinadas pessoas e grupos; segundo as regras dos EUA independentemente da intenção, segundo as regras da UE a responsabilidade só desaparece se não sabia nem tinha motivos razoáveis para suspeitar de uma violação (Regulamento (UE) 2019/796 do Conselho, artigo 10(2)). A primeira verificação jurídica antes de qualquer pagamento de resgate.
Resposta correta: "não agora, e apenas após revisão jurídica da legislação sobre sanções."
Formação NIS2 para a direção, Lição 3.8: Cenário - Ataque de ransomware numa sexta-feira à tarde. Também em: Lição 4.6- sanctions list
- Um registo publicado de pessoas, grupos e organizações a quem é proibido receber pagamentos.
A questão da lista de sanções esteve sempre presente.
Formação NIS2 para a direção, Lição 4.6: Decisões sobre o pagamento de ransomware- SBOM
- Software Bill of Materials. Um inventário legível por máquina de todos os componentes de software num produto: nomes, versões, fornecedores e identificadores. Obrigatório para produtos com elementos digitais ao abrigo do Anexo I, Parte II, ponto (1) do CRA.
Este curso ensina-lhe a criar, manter e reter um SBOM que satisfaz o Cyber Resilience Act.
Fundamentos do SBOM no CRA, Lição 0.1: O que é um SBOM e porque o CRA o tornou obrigatório- Scoping assessment
- A verificação de se a NIS2 se aplica à sua empresa e em que categoria se enquadra. Pode fazê-la você próprio; um advogado pode apoiar.
"Concluímos uma avaliação de âmbito e em que categoria estamos?"
Formação NIS2 para a direção, Lição 1.2: Quem está abrangido: entidades essenciais e importantes- secure development
- Um padrão documentado para escrever software com a segurança incorporada de raiz, e não acrescentada depois.
- Secured communications
- Comunicações seguras de voz, vídeo e texto para utilização empresarial sensível; o artigo 21.º, n.º 2, alínea j), enumera-as como medida a aplicar quando adequado.
A segunda parte da alínea abrange as comunicações seguras.
Formação NIS2 para a direção, Lição 2.15: Medida 10 - Autenticação multifator e comunicações seguras- security control
- Uma medida técnica ou organizacional aplicada para gerir um risco específico.
- Sign-off
- A sua aprovação formal, enquanto parte do órgão de administração, das medidas de cibersegurança da empresa, exigida nos termos do artigo 20.º, n.º 1, da Diretiva NIS2. Um registo datado é a forma de a provar.
Se não tiver qualquer prova de que procurou compreender os seus deveres (sem registo de formação, sem aprovação documentada, sem atas de reunião que demonstrem que colocou as perguntas), esse é o fator que inclina as três camadas no sentido errado.
Formação NIS2 para a direção, Lição 1.3: Sanções e a proibição de exercer funções de direção. Também em: Lição 0.1; Lição 1.5; Lição 1.7; Lição 3.3; Lição 3.4- Significant incident
- Um incidente com um impacto significativo nos serviços da entidade, sujeito a comunicação nos termos do artigo 23.º. O artigo 23.º, n.º 3, define-o; o CIR 2024/2690 fixa limiares exatos apenas para determinados tipos de entidade, como os prestadores de serviços de nuvem e de DNS.
- Art. 23(3) NIS2, §2 No. 11 BSIG, §32 BSIG, CIR 2024/2690 Art. 3 (for the entity types in its Art. 1)
O artigo 23.o da Diretiva NIS2 exige que as empresas abrangidas comuniquem incidentes significativos ao seu CSIRT nacional ou à autoridade competente.
Formação NIS2 para a direção, Lição 1.11: A cascata de notificação e os incidentes significativos. Também em: Lição 3.1; Lição 3.10; Formação em exercícios tabletop NIS 2, Lição 1.1- Size threshold
- O número de trabalhadores, o volume de negócios anual e o total do balanço que decidem se uma empresa é abrangida pela NIS2.
A maioria das empresas entra no âmbito através de um simples limiar de dimensão: cinquenta ou mais trabalhadores, ou mais de dez milhões de euros tanto de volume de negócios anual como de balanço total anual.
Formação NIS2 para a direção, Lição 1.2: Quem está abrangido: entidades essenciais e importantes- SPDX
- Software Package Data Exchange. Norma ISO/IEC 5962:2021 para SBOM, com origem na Linux Foundation. Orientada para as licenças: construída em torno da conformidade e da atribuição das licenças de código aberto. Disponível nos formatos JSON, YAML, RDF e tag-value. Tanto o CycloneDX como o SPDX são formatos de uso comum e legíveis por máquina e são aceites pela diretriz técnica BSI TR-03183-2. O próprio CRA não indica nenhum formato no anexo I, parte II, ponto (1); a Comissão pode especificar um (artigo 13.º, n.º 24).
Os formatos CycloneDX e SPDX preenchem essa lacuna.
Fundamentos do SBOM no CRA, Lição 1.1: O que faz parte de um SBOM: componentes, versões e identificadores. Também em: Lição 0.1; Lição 2.1; Lição 2.2; Lição 4.1- State of the art
- O nível atual de boas práticas comprovadas, para o qual contribuem as normas reconhecidas; o artigo 21.º, n.º 1, refere ambos. O padrão de referência do auditor evolui à medida que evoluem as práticas e as normas.
O Artigo 21(1) exige medidas que "tenham em conta o estado da arte".
Formação NIS2 para a direção, Lição 1.10: Abordagem de todos os riscos e estado da arte- Statutory duty
- Algo que a lei o obriga a fazer pessoalmente, por oposição a uma decisão empresarial corrente. O artigo 20.º da NIS2 cria deveres legais para o órgão de administração.
O direito das sociedades de cada país da UE concede à empresa um mecanismo para recuperar os danos junto de um administrador que violou um dever legal, algo que a lei o obriga a fazer pessoalmente, distinto de uma decisão de negócio comum.
Formação NIS2 para a direção, Lição 1.7: Responsabilidade pessoal nos termos do direito nacional das sociedades. Também em: Lição 1.8; Lição 4.2- Sufficient knowledge
- O critério do artigo 20.º, n.º 2: conhecimentos e competências suficientes para identificar riscos e avaliar as medidas e o seu impacto nos serviços. A lei não exige nem um exame nem uma certificação.
- Supervisory board
- O órgão de supervisão numa estrutura societária dualista que pode intentar ações contra os administradores.
O seu órgão de fiscalização reúne-se na manhã seguinte.
Formação NIS2 para a direção, Lição 1.7: Responsabilidade pessoal nos termos do direito nacional das sociedades. Também em: Lição 3.6- Supplier inventory
- A lista mantida de todos os fornecedores com aquilo a que acedem e a sua classificação de risco.
Uma: um inventário de fornecedores, quem são, o que fazem, a que conseguem aceder.
Formação NIS2 para a direção, Lição 2.9: Medida 4 - Segurança da cadeia de abastecimento- Supply chain
- A rede de fornecedores e prestadores de serviços de que a sua empresa depende.
Cadeia de abastecimento e sistemas: (d) segurança da cadeia de abastecimento e (e) segurança na forma como compra, constrói e mantém os sistemas de TI, incluindo o tratamento de vulnerabilidades.
Formação NIS2 para a direção, Lição 1.9: As dez medidas: visão geral. Também em: Lição 2.9- Supply chain attack
- Um ataque que visa um fabricante através de uma dependência ou fornecedor comprometido, em vez de atacar diretamente os sistemas do próprio fabricante. O SolarWinds e o XZ Utils são exemplos. O SBOM é o seu mapa para identificar quais componentes da cadeia de abastecimento estão presentes e, por conseguinte, quais ataques à cadeia de abastecimento podem atingir o seu produto.
O fornecedor é relevante para a imagem de risco de ataque à cadeia de fornecimento.
Fundamentos do SBOM no CRA, Lição 1.1: O que faz parte de um SBOM: componentes, versões e identificadores- Supply chain incident
- Um evento de segurança num fornecedor que pode criar uma obrigação legal para a sua empresa nos termos dos artigos 21.º e 23.º.
- Supply chain security
- O requisito de avaliar e gerir os riscos de cibersegurança na sua cadeia de abastecimento, em especial os prestadores de serviços de TI, os prestadores de serviços de nuvem e qualquer fornecedor com acesso aos seus sistemas ou dados. As medidas podem incluir requisitos de segurança nos contratos com fornecedores, a avaliação das práticas dos fornecedores e o seu acompanhamento ao longo do tempo; as cláusulas contratuais são obrigatórias apenas para os tipos de entidade abrangidos pelo CIR 2024/2690.
- §30(2)(4) BSIG
- Support period
- O período durante o qual um fabricante fornece atualizações de segurança para um produto. O Artigo 13(8) do CRA exige que o período de suporte seja de pelo menos cinco anos, ou o tempo de utilização previsto se este for inferior a cinco anos. O período de conservação do SBOM decorre durante 10 anos ou até ao fim deste período de suporte, consoante o que for mais longo.
Ou o período de suporte, consoante o que for mais longo
Fundamentos do SBOM no CRA, Lição 1.3: A regra de conservação de 10 anos e quem obtém acesso- Syft
- Um gerador de SBOM de código aberto da Anchore. Analisa imagens de contentores, sistemas de ficheiros e manifestos de pacotes específicos de linguagens. Produz CycloneDX ou SPDX. A forma mais rápida de gerar um SBOM inicial para um produto existente.
Syft da Anchore produz CycloneDX 1.6 JSON por predefinição:
Fundamentos do SBOM no CRA, Lição 2.1: CycloneDX: o formato SBOM orientado para a segurança. Também em: Lição 3.1; Lição 4.1
T
- tabletop exercise
- Um percurso estruturado por um cenário de incidente realista com as pessoas que responderiam.
Um ensaio em papel contra um cenário chama-se exercício de mesa.
Formação NIS2 para a direção, Lição 2.7: Medida 2 - Tratamento de incidentes. Também em: Lição 5.1; Formação em exercícios tabletop NIS 2, Lição 0.1- Technical and organisational measures
- A abreviatura universal de conformidade (TOMs) para a combinação de ferramentas, processos e regras exigida para cada medida.
O seu CISO vai chamar a isto medidas técnicas e organizacionais, ou TOMs.
Formação NIS2 para a direção, Lição 1.9: As dez medidas: visão geral- Technical documentation
- O conjunto de documentos que um fabricante deve compilar e conservar ao abrigo do Artigo 31 e do Anexo VII do CRA. Inclui o SBOM, a avaliação de riscos, as decisões de conceção segura, os resultados dos testes e a declaração de conformidade da UE. Deve ser conservado durante 10 anos após a colocação do produto no mercado, ou durante o período de suporte, consoante o que for mais longo.
Esta lição aborda o período de retenção, o lugar do SBOM no pacote mais amplo de documentação técnica e quem pode solicitá-lo e em que condições.
Fundamentos do SBOM no CRA, Lição 1.3: A regra de conservação de 10 anos e quem obtém acesso. Também em: Lição 0.1; Lição 4.1- The ten measures
- As dez categorias enumeradas no artigo 21.º, n.º 2, que representam o âmbito mínimo na UE das medidas de gestão de risco que cada empresa abrangida deve ter.
- Third-party liability
- A parte de uma apólice que paga a pessoas externas à empresa quando a falha da empresa as prejudicou.
- Top-level dependency
- Um componente que o seu produto importa ou liga diretamente. O mínimo exigido pelo CRA no Anexo I, Parte II, ponto (1) requer que o SBOM cubra pelo menos estes. Se o seu código tiver `import requests` ou `<dependency>spring-boot</dependency>`, esses são dependências de nível superior.
Esta lição explica a diferença entre dependência de nível superior e dependência transitiva, o motivo pelo qual a distinção consta na lei e o motivo pelo qual a melhor prática se afasta do mínimo legal.
Fundamentos do SBOM no CRA, Lição 1.2: Dependências de primeiro nível vs dependências transitivas. Também em: Lição 4.1- Training duty
- A obrigação legal nos termos do artigo 20.º, n.º 2, da NIS2, segundo a qual cada membro do órgão de administração deve frequentar pessoalmente uma formação em cibersegurança.
O dever de formação é pessoal e indelegável.
Formação NIS2 para a direção, Lição 1.6: O seu dever de formação. Também em: Lição 0.1- Transitive dependency
- Um componente obtido por uma das suas dependências de nível superior, não diretamente pelo seu código. O Log4Shell (CVE-2021-44228) era uma dependência transitiva em milhares de aplicações cujas equipas desconheciam a sua presença. O mínimo exigido pelo CRA não requer a listagem destas, mas as boas práticas recomendam-no.
Esta lição explica a diferença entre dependência de nível superior e dependência transitiva, o motivo pelo qual a distinção consta na lei e o motivo pelo qual a melhor prática se afasta do mínimo legal.
Fundamentos do SBOM no CRA, Lição 1.2: Dependências de primeiro nível vs dependências transitivas. Também em: Lição 4.1- Transposition
- O processo pelo qual cada país da UE transpõe uma diretiva da UE para o seu próprio direito nacional.
Este É um regulamento, pelo que se aplica diretamente nos 27 Estados-Membros sem transposição, mas apenas aos prestadores digitais enumerados no seu Artigo 1.º: prestadores de serviços de DNS, registos de nomes de TLD, prestadores de serviços de computação em nuvem e de serviços de centro de dados, fornecedores de redes de distribuição de conteúdos (CDN), prestadores de serviços geridos e de serviços de segurança geridos, prestadores de serviços de mercados em linha, de motores de pesquisa em linha e de plataformas de serviços de redes sociais, e prestadores de serviços de confiança.
Formação NIS2 para a direção, Lição 1.1: O que é a NIS2 e porque existe. Também em: Lição 0.1- Transposition law
- A lei nacional que um país promulga para aplicar uma diretiva da UE.
V
- VEX
- Vulnerability Exploitability eXchange. Uma declaração anexada a um SBOM que documenta se um CVE conhecido afeta realmente o seu produto e porquê. Suportada nativamente no CycloneDX. O CRA não menciona o VEX, mas uma declaração «não afetado» com justificação regista a razão pela qual uma vulnerabilidade conhecida não exigiu correção (anexo I, parte II).
O CycloneDX possui suporte nativo a VEX.
Fundamentos do SBOM no CRA, Lição 2.2: SPDX e a escolha do seu formato. Também em: Lição 1.2; Lição 2.1; Lição 3.2; Lição 4.1- Vulnerability
- Uma fraqueza num sistema que pode ser explorada por uma ameaça.
Cadeia de abastecimento e sistemas: (d) segurança da cadeia de abastecimento e (e) segurança na forma como compra, constrói e mantém os sistemas de TI, incluindo o tratamento de vulnerabilidades.
Formação NIS2 para a direção, Lição 1.9: As dez medidas: visão geral- Vulnerability handling
- O processo contínuo de encontrar, classificar e corrigir vulnerabilidades conhecidas.
O Artigo 21(2)(e) da Diretiva NIS2 exige "a segurança na aquisição, desenvolvimento e manutenção de redes e sistemas de informação, incluindo o tratamento de vulnerabilidades e a respetiva divulgação".
Formação NIS2 para a direção, Lição 2.10: Medida 5 - Aquisição, desenvolvimento e manutenção
W
- Without undue delay
- Logo que razoavelmente possível; o padrão jurídico para a rapidez da notificação aos clientes.
O Artigo 23(1) da Diretiva NIS2 determina que, se for caso disso, as entidades notificam os destinatários dos serviços "sem demora injustificada" de incidentes significativos suscetíveis de afetar negativamente a prestação desses serviços.
Formação NIS2 para a direção, Lição 1.12: O dever de notificação dos clientes
Fontes
- BSIG, Lei sobre o Gabinete Federal para a Segurança da Informação e sobre a Segurança das Tecnologias da Informação das Entidades (versão de 2 de dezembro de 2025): https://www.gesetze-im-internet.de/bsig_2025/
- Diretiva NIS2 (UE) 2022/2555, Jornal Oficial da União Europeia: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Regulamento de Execução (UE) 2024/2690 da Comissão, Jornal Oficial da União Europeia: https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Regulamento (UE) 2024/2847 (Cyber Resilience Act), Jornal Oficial da União Europeia: https://eur-lex.europa.eu/eli/reg/2024/2847/oj
- Regulamento (UE) 2016/679 (GDPR), Jornal Oficial da União Europeia: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- BSI, normas IT-Grundschutz BSI-200-1 a BSI-200-4
- BSI, IT-Grundschutz Kompendium (edição atual)
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
