Documentos NIS2: que documentação a sua empresa precisa
A NIS2 obriga-o a documentar as suas medidas de segurança (§ 30(1), terceira frase, BSIG). A lei pede expressamente “políticas” (Konzepte) para a análise de riscos e a segurança das TI, a verificação da eficácia, a criptografia, e o pessoal, os acessos e a gestão das TI. Para o resto, muitas vezes basta uma lista. A lei não prescreve um formato.
O que a lei exige
As entidades essenciais e importantes tomam medidas em dez áreas (§ 30(2) BSIG). Põem por escrito que o fazem (§ 30(1), terceira frase, BSIG).
Para quatro áreas, a lei fala expressamente de políticas: análise de riscos e segurança das TI (n.º 1), avaliação da eficácia (n.º 6), criptografia (n.º 8), e pessoal, controlo de acessos e gestão das TI (n.º 9).
A lei não fixa o aspeto dos documentos, a sua extensão nem o software em que os mantém. Seguem o risco, a dimensão e os custos da sua empresa (§ 30(1), segunda frase, BSIG).
§ 30(1) e (2) BSIG · Art. 21 NIS 2
Os documentos num relance
Estes seis documentos cobrem as áreas em que um texto escrito faz sentido. A direção aprova cada um.
| Documento | O que diz |
|---|---|
| Política de segurança da informação§ 30(2) n.º 1 | Como a sua empresa trata a segurança da informação: objetivos, responsabilidades, como os riscos são avaliados. |
| Plano de resposta a incidentes§ 30(2) n.º 2 | Quem decide num incidente, a quem liga, como se contactam sem as TI e como notifica o BSI. |
| Plano de continuidade do negócio§ 30(2) n.º 3 | O que tem de continuar a funcionar quando as TI falham, e como restabelece o funcionamento. |
| Regras para aquisição, manutenção e vulnerabilidades§ 30(2) n.º 5 | A que presta atenção ao comprar TI, como são instaladas as atualizações e onde outras pessoas podem comunicar as vulnerabilidades que encontrem. |
| Política de criptografia§ 30(2) n.º 8 | Onde e como cifra, por exemplo portáteis, email e acesso remoto. |
| Política de pessoal, acessos e gestão das TI§ 30(2) n.º 9 | Quem recebe que acessos, como as pessoas novas os recebem e as que saem os perdem, e como gere as suas TI. |
Onde basta uma lista
Para outras áreas não precisa de texto corrido. Uma lista que mantém atualizada mostra o que faz.
| Lista | O que diz |
|---|---|
| Os seus ativos§ 30(2) n.ºs 1 e 9 | Aquilo com que a sua empresa trabalha: processos, software, equipamentos, salas, redes, e quem os fornece. |
| Os seus fornecedores§ 30(2) n.º 4 | Quem trabalha para si e o que acordou com eles em matéria de segurança. |
| As suas cópias de segurança§ 30(2) n.º 3 | O que é copiado, com quê, e quando foi testado o restauro pela última vez. |
| As suas formações§ 30(2) n.º 7 · § 38(3) | Quem participou em que formação e quando, trabalhadores e direção. |
| Segundo fator e comunicação protegida§ 30(2) n.º 10 | Onde um segundo fator protege o início de sessão e que canais usa para comunicação protegida. |
| Revisão pela direção§ 30(2) n.º 6 · § 38(1) | Quando a direção verificou se as medidas funcionam, o que decidiu e quem faz o quê até quando. |
Mais para certos prestadores digitais
Prestadores como nuvem, centros de dados, serviços geridos e alguns outros serviços digitais estão também sujeitos ao Regulamento de Execução (UE) 2024/2690. O seu Anexo descreve muitos registos com mais pormenor.
Para todas as outras empresas, esse Anexo não é vinculativo. Pode servir de orientação.
§ 30(3) BSIG · Regulamento de Execução (UE) 2024/2690
A quem se aplica o Regulamento de ExecuçãoO que isto significa para uma empresa com 50 a 150 trabalhadores
Não precisa de uma coleção de modelos para cada pormenor. Um documento por área onde é preciso um texto, e listas que mantém atualizadas para o resto.
Mais importante do que a extensão é que os documentos se ajustem ao seu negócio e que o que dizem aconteça de facto.
A lei não exige um certificado como a ISO 27001. Pode, no entanto, apoiar a sua prova.
§ 30(1), segunda e terceira frases, BSIG
Um exemplo
Uma empresa fictícia: um fabricante de máquinas de embalagem com 110 trabalhadores. O fabrico de máquinas consta do Anexo 2 da BSIG, por isso a empresa é uma entidade importante.
O responsável de TI escreve aquilo com que a empresa trabalha: ERP, software de projeto, controlo da produção, email, cópias de segurança. Ao lado de cada um, quem o fornece.
As suas respostas sobre as dez áreas dão origem aos seis documentos. O plano de resposta a incidentes diz que o gerente decide e o responsável de TI notifica.
A empresa mantém os fornecedores, as cópias de segurança e as formações como listas.
O gerente lê os documentos e aprova-os. Quando entra um novo prestador de serviços, as TI acrescentam-no à lista de fornecedores.
Como o percurso guiado faz isto
No percurso guiado em nisd2.eu, os documentos resultam das suas respostas.
As suas respostas dão origem a seis documentos: política de segurança, plano de resposta a incidentes, plano de continuidade do negócio, política de criptografia, política de pessoal, acessos e ativos, e regras para aquisição, manutenção e vulnerabilidades.
Pode acrescentar disposições próprias a cada documento.
Quando basta uma lista, mantém uma lista: as suas TI, os seus fornecedores, as suas cópias de segurança, as suas formações.
No fim, a direção aprova os documentos na aplicação, com sessão iniciada na sua própria conta. O nome e a data passam a constar de cada documento.
A exportação reúne tudo num só documento, que guarda como PDF no navegador.
Perguntas frequentes
Que documentos a NIS2 exige?
A BSIG obriga-o a documentar a aplicação das suas medidas (§ 30(1), terceira frase). Refere expressamente políticas para a análise de riscos e a segurança das TI, a eficácia, a criptografia, e o pessoal, os acessos e a gestão das TI (§ 30(2) n.ºs 1, 6, 8 e 9).
Existe um formato prescrito?
Não. A lei não fixa nem formato nem extensão. Os documentos seguem o risco, a dimensão e os custos da sua empresa.
Os documentos têm de ser assinados?
A BSIG não prescreve uma assinatura. Mas a direção tem de aplicar e supervisionar as medidas (§ 38(1) BSIG), e a diretiva da UE exige que as aprove (Art. 20(1) NIS 2). Uma aprovação registada pela direção é, por isso, a escolha evidente.
Precisamos de uma certificação ISO 27001?
A lei não a exige. Um certificado pode apoiar a sua prova, mas não cobre automaticamente a BSIG.
Fontes
- Lei do BSI (BSIG), §§ 30 e 38, gesetze-im-internet.de/bsig_2025
- Diretiva (UE) 2022/2555 (NIS 2), Art. 20 e 21, EUR-Lex
- Regulamento de Execução (UE) 2024/2690, Art. 1 e Anexo, EUR-Lex
Na prática
Onde isto aparece no percurso guiado
O percurso guiado transforma isto em passos que preenche, com a lei explicada ao lado de cada um. Abra um passo para ver o seu ecrã, preenchido para uma empresa fictícia.
O percurso em si está em alemão e em inglês.
Risk Management
Write the security policy
A short policy that management approves.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Quanto custa o percurso guiado
€ 4.800 sem IVA por ano, mais IVA
30 dias para reembolsoPor fatura, com vencimento a 30 dias. Cancelamento nos primeiros 30 dias: fatura anulada ou reembolso.
Implementação guiada da NIS 2, passo a passo
Um histórico de alterações e aprovações para mostrar à sua autoridade de supervisão
Prazos e lembretes para cada requisito
Questionário de segurança para os seus fornecedores
Exportação para PDF ou CSV a qualquer momento
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
