Controlo de acesso NIS 2 ao abrigo do Artigo 21(2)(i)+(j)
O Artigo 21(2)(i) nomeia as políticas de controlo de acesso. O Artigo 21(2)(j) nomeia a autenticação multifatorial. O §11 do CIR cobre-as em conjunto em sete subsecções. Esta página percorre os deveres mais amplos de política, de contas privilegiadas e de identidade. A página dedicada ao MFA cobre o §11.7.
A versão curta
O controlo de acesso está nos pontos (i) e (j) do Artigo 21(2). O ponto (i) nomeia 'segurança dos recursos humanos, políticas de controlo de acesso e gestão de ativos'. O ponto (j) nomeia 'a utilização de soluções de autenticação multifatorial ou de autenticação contínua, comunicações de voz, vídeo e texto seguras'. Ambos se aplicam a todas as entidades essenciais e importantes em toda a UE.
O CIR (UE) 2024/2690 §11 cobre ambas as alíneas em conjunto, sob o título 'Controlo de acesso (Artigo 21(2), pontos (i) e (j) da Diretiva (UE) 2022/2555)'. Divide o dever em sete subsecções: a própria política, a gestão de direitos, as contas privilegiadas, os sistemas de administração de sistemas, a identificação, a autenticação e a autenticação multifatorial. Esta página percorre o §11.1 até ao §11.6. Para o §11.7 especificamente, ver a página dedicada ao MFA.
A Alemanha coloca o dever de política no § 30(2)(9) BSIG e o dever de MFA no § 30(2)(10) BSIG. O módulo ORP.4 'Identitäts- und Berechtigungsmanagement' do IT-Grundschutz do BSI é uma forma recomendada de o implementar, não uma base legal.
Artigo 21(2)(i) + (j) da Diretiva NIS 2 (2022/2555)
i) Segurança dos recursos humanos, políticas seguidas em matéria de controlo do acesso e gestão de ativos; j) Utilização de soluções de autenticação multifatores ou de autenticação contínua, comunicações seguras de voz, vídeo e texto e sistemas seguros de comunicações de emergência no seio da entidade, se for caso disso.
Os pontos (i) e (j) são duas das dez medidas do Artigo 21(2). O (i) agrupa três coisas, das quais o controlo de acesso é o item do meio. O (j) está ao lado dele na lista. O ponto 11 do CIR cobre ambos em conjunto.
CIR (UE) 2024/2690, Anexo §11
Controlo do acesso [artigo 21.o, n.o 2, alíneas i) e j), da Diretiva (UE) 2022/2555].
O §11 do CIR tem sete subsecções: §11.1 política de controlo de acesso, §11.2 gestão de direitos de acesso, §11.3 contas privilegiadas e contas de administração de sistemas, §11.4 sistemas de administração de sistemas, §11.5 identificação, §11.6 autenticação, §11.7 autenticação multifatorial. Este regulamento vincula apenas os tipos de entidade enumerados no seu artigo 1.o (DNS, TLD, cloud, centros de dados, CDN, MSP, MSSP, mercados em linha, motores de pesquisa, redes sociais, serviços de confiança).
§30(2)(9) e (10) BSIG (Alemanha)
9. Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen, [...] 10. Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.
A Alemanha divide o ponto (i)+(j) da UE em dois números do BSIG. O § 30(2)(9) carrega o controlo de acesso e a gestão de ativos. O § 30(2)(10) carrega o MFA e as comunicações seguras. A substância é a mesma regra da UE.
Política e gestão de direitos
Escreva como funciona o acesso (lógico e físico) para colaboradores, visitantes, fornecedores e prestadores de serviços. Conceda, modifique e revogue direitos com base na necessidade do negócio: necessidade de conhecer, privilégio mínimo, separação de funções. Cada direito é atribuído a uma pessoa nomeada. A revogação corre na mudança de vínculo laboral, não num ciclo semanal. O acesso de terceiros (visitantes, fornecedores) é acompanhado.
Contas privilegiadas e de administração
As contas de administração recebem identificação, autenticação e autorização fortes. Apenas contas de administração dedicadas, usadas unicamente para instalação, configuração, gestão e manutenção. Os direitos de administração são adaptados individualmente e restringidos. Os sistemas de administração de sistemas são usados apenas para administração, logicamente separados do software aplicacional não usado para administração, e protegidos por autenticação e cifragem.
Identidade e autenticação
Ciclo de vida da identidade: IDs únicos, cada ID ligado a uma pessoa, monitorização e registo ao longo do ciclo de vida. Os procedimentos de autenticação correspondem à política de controlo de acesso: robustez da autenticação ajustada à classificação do ativo, procedimentos de alteração, bloqueio em tentativas falhadas, tempos limite de sessão, credenciais separadas para contas privilegiadas.
Necessidade de conhecer, privilégio mínimo, separação de funções
O ponto 11.2.2, alínea a), do CIR nomeia as três (a versão alemã diz need-to-use onde a inglesa diz least privilege). Necessidade de conhecer: só as pessoas que precisam dos dados recebem os dados. Privilégio mínimo: os direitos correspondem à tarefa, não ao cargo. Separação de funções: nenhuma pessoa isolada deve poder conceder, usar e auditar o mesmo direito. Se os seus grupos de AD são 'TI' e 'todos os outros', não implementou nenhuma das três.
Privilegiado não é apenas o regular com mais direitos
Para os prestadores digitais que o CIR abrange, os pontos 11.3 e 11.4 elevam a fasquia especificamente para as contas de administração. Identificação forte. MFA nomeado no próprio §11.3, não só no §11.7. Contas dedicadas usadas apenas para trabalho de administração. Sistemas de administração de sistemas logicamente separados do software aplicacional. O ponto: uma conta de administração comprometida compromete tudo, por isso as contas de administração têm o seu próprio regime.
BSI / IT-Grundschutz ORP.4
O módulo ORP.4 'Identitäts- und Berechtigungsmanagement' do IT-Grundschutz do BSI cobre o ciclo de vida da identidade, os direitos baseados em funções, a separação de contas privilegiadas, as regras de palavra-passe e as revisões. Para as empresas é uma recomendação. Só para os organismos da administração federal é que o § 44(2) BSIG diz que cumprir os requisitos mínimos do Grundschutz satisfaz o § 30.
Orientação Técnica de Implementação da ENISA
A Orientação Técnica de Implementação da ENISA para o CIR (UE) 2024/2690 percorre cada subsecção do §11 em linguagem operacional e mapeia-a na ISO/IEC 27001:2022 (entre outros A.5.15 a A.5.18, A.8.2, A.8.3 e A.8.5) e no NIST CSF 2.0 (PR.AA). A ENISA afirma que o mapeamento não é uma medida de equivalência, por isso confronte uma implementação ISO 27001 existente com cada ponto.
Leis nacionais de transposição
Cada Estado-Membro transpõe o Artigo 21(2)(i) e (j) para a sua própria lei (Países Baixos: Cyberbeveiligingswet; Áustria: NISG 2026; Bélgica: a sua lei NIS2). A diretiva define um mínimo e os Estados-Membros podem ir mais longe (art. 5.o da NIS 2), por isso é o texto nacional que decide. Difere também a norma de base para que a autoridade nacional aponta.
Temos grupos de AD, por isso temos controlo de acesso.
Um começo, não a meta. Para os prestadores digitais que o CIR abrange, os pontos 11.1 e 11.2 pedem uma política documentada de direitos de acesso, direitos atribuídos a pessoas nomeadas, um procedimento de revogação ligado à mudança de vínculo laboral, e um registo de auditoria de concessões e revogações. Os grupos de AD dão-lhe o mecanismo. Não lhe dão a política, o registo de pessoas nomeadas, nem o procedimento de entradas, mudanças e saídas.
Os nossos administradores usam a conta normal para o trabalho de administração, com sudo ou 'executar como administrador'.
Para os prestadores digitais que o CIR abrange, o ponto 11.3.2, alínea b), exige contas específicas usadas exclusivamente para a administração de sistemas, como instalação, configuração, gestão ou manutenção. Para todos os outros é boa prática, não um dever legal. A conta normal de um administrador é para correio, calendário e Excel; uma conta de administração separada, com o seu próprio segundo fator, é para o trabalho privilegiado. Misturar as duas significa que um e-mail de phishing pode comprometer a função de administração.
Sincronizamos os direitos de acesso todas as segundas-feiras de manhã.
Perto, mas não é o que o ponto 11.2.2, alínea b), do CIR pede: os direitos mudam com a cessação ou a mudança de vínculo laboral, não num ciclo de calendário. Para a revisão dos direitos, o ponto 11.2.3 diz 'a intervalos planeados', e nenhum texto fixa o intervalo. (Ambos vinculam os prestadores digitais que o CIR abrange.)
Uma configuração típica: Active Directory ou Entra ID para identidades, grupos de AD para acesso a aplicações, um sistema de RH que emite tickets de onboarding para as TI. Isso dá-lhe o mecanismo. O trabalho de política concentra-se em três sítios.
Três sítios a verificar primeiro: uma política escrita de controlo de acesso atual e aprovada, contas de administração dedicadas, e um procedimento de entradas, mudanças e saídas conduzido pelo RH e não apenas pelas TI (caso contrário a conta de um prestador externo persiste porque o RH nunca disse às TI que ele saiu).
- Diretiva (UE) 2022/2555 (NIS 2), Artigo 21(2)(i) e (j). eur-lex.europa.eu/eli/dir/2022/2555/oj
- Regulamento de Execução (UE) 2024/2690 da Comissão (CIR), Anexo §11. eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Lei do BSI (BSIG), §30(2)(9) e §30(2)(10) com a redação dada pela Lei de Implementação da NIS2 e de Reforço da Cibersegurança
- IT-Grundschutz Compendium, módulo ORP.4 'Identitäts- und Berechtigungsmanagement'. bsi.bund.de/grundschutz
- Orientação Técnica de Implementação da ENISA para o CIR (UE) 2024/2690 (versão 1.0, junho de 2025)
Na prática
Onde isto aparece no percurso guiado
O percurso guiado transforma isto em passos que preenche, com a lei explicada ao lado de cada um. Abra um passo para ver o seu ecrã, preenchido para uma empresa fictícia.
O percurso em si está em alemão e em inglês.
Access Control & HR Security
Write the staff, access and asset policy
Who gets into what, and what happens when someone leaves.
Authentication & Communications
Record where a second factor protects
For each program on your list: password alone, or with a second factor.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
