Gestão de vulnerabilidades NIS 2 ao abrigo do Artigo 21(2)(e)
A gestão de vulnerabilidades tem dois lados na NIS 2. Como trata as fraquezas nos seus próprios sistemas. E como trata as fraquezas que as pessoas lhe reportam. O Artigo 21(2)(e) é onde reside o dever, o §6.10 do CIR (UE) 2024/2690 detalha os pormenores para os prestadores digitais que abrange, e o § 30(2)(5) BSIG transpõe o dever para a lei alemã.
A versão curta
A gestão de vulnerabilidades é o ponto (e) na lista do Artigo 21(2). O CIR intitula a secção correspondente 'Tratamento e divulgação de vulnerabilidades'. Esse título é o que entrega o jogo. A NIS 2 preocupa-se com duas coisas ao mesmo tempo: as fraquezas que estão nos sistemas que opera, e as fraquezas que pessoas de fora encontram nos seus produtos e querem comunicar-lhe.
Para os prestadores digitais que abrange, o §6.10 do CIR estabelece cinco ações. Recolher informação sobre vulnerabilidades junto de CSIRTs, autoridades, fabricantes e prestadores de serviços. Quando apropriado, correr análises de vulnerabilidades e registar os resultados a intervalos planeados. Remediar as críticas sem demora injustificada. Ligar o tratamento de vulnerabilidades aos seus processos de gestão de alterações, de correções, de risco e de incidentes. E criar um procedimento de divulgação coordenada de vulnerabilidades (CVD) alinhado com a política nacional de CVD.
A Alemanha nomeia a gestão e a divulgação de vulnerabilidades para todas as entidades no § 30(2)(5) BSIG, sem prescrever a forma. O BSI é o coordenador nacional da divulgação coordenada de vulnerabilidades (§ 5(1) BSIG) e exerce-o através do CERT-Bund. A própria NIS 2 cria também uma base de dados europeia de vulnerabilidades ao abrigo do Artigo 12, operada pela ENISA, onde as entidades podem divulgar voluntariamente.
Artigo 21(2)(e) da Diretiva NIS 2 (2022/2555)
Segurança na aquisição, desenvolvimento e manutenção dos sistemas de rede e informação, incluindo o tratamento e a divulgação de vulnerabilidades.
Ponto (e) na lista das dez medidas. Note o enquadramento: o tratamento e a divulgação de vulnerabilidades estão dentro de um dever mais amplo de aquisição, desenvolvimento e manutenção. O CIR divide isto em pontos separados (6.1 aquisição, 6.10 vulnerabilidades).
CIR (UE) 2024/2690, Anexo §6.10
As entidades pertinentes obtêm informações sobre as vulnerabilidades técnicas dos seus sistemas de rede e informação, avaliam a sua exposição a essas vulnerabilidades e tomam medidas adequadas para geri-las.
Lei da UE diretamente vinculativa para os tipos de entidade enumerados no artigo 1.o do CIR (DNS, TLDs, cloud, centros de dados, MSPs, serviços de confiança e outros). O §6.10.2 lista cinco ações concretas. O §6.10.3 diz que, quando dispensa a mitigação, regista porquê. O §6.10.4 diz que revê periodicamente os canais que usa para monitorizar a informação de vulnerabilidades.
§30(2)(5) BSIG (Alemanha)
Medidas de segurança para a aquisição, desenvolvimento e manutenção de sistemas, componentes e processos de tecnologias de informação, incluindo a gestão e a divulgação de vulnerabilidades.
A Alemanha copia o texto da UE. O quadro nacional de CVD corre pelo programa de divulgação coordenada CERT-Bund no BSI, que é o que 'alinhado com as políticas nacionais de CVD aplicáveis' no §6.10.2(e) aponta na Alemanha.
Faça entrar a informação
Acompanhe a informação de vulnerabilidades de CSIRTs, autoridades, fabricantes e prestadores de serviços. Corra análises de vulnerabilidades com uma cadência adequada ao seu ambiente. As ferramentas de análise (Tenable, Qualys, Nessus, OpenVAS) são o lado da engenharia. Os feeds (boletim CERT-Bund, avisos de fabricantes, NVD) são o lado da consciência. Precisa de ambos.
Corrija as críticas, documente as restantes
As vulnerabilidades críticas são remediadas sem demora. O tratamento de vulnerabilidades tem de ligar à sua gestão de alterações, gestão de correções, gestão de risco e gestão de incidentes. Quando decide não mitigar, o §6.10.3 diz que cria um plano de mitigação documentado ou regista por que razão nenhuma ação é necessária. Sem acumulação silenciosa.
Corra um processo de divulgação coordenada
Estabeleça um procedimento para receber comunicações de vulnerabilidades de pessoas de fora e coordenar a sua divulgação, alinhado com a política nacional de CVD aplicável. Mecânica mínima: um canal de contacto publicado (caixa security@ ou um ficheiro security.txt), um SLA de confirmação, um prazo de remediação, e uma divulgação pública coordenada. O CERT-Bund media se for preciso.
Periódica, não reativa
O ponto 6.10.2, alínea b), pede, quando apropriado, análises de vulnerabilidades com os resultados registados a intervalos planeados, e o ponto 6.10.4 pede que os canais de monitorização sejam revistos a intervalos planeados. Para as entidades que o CIR abrange, isso significa uma cadência escrita: documente com que frequência analisa e com que frequência revê a lista de feeds, e cumpra-a. Nenhum texto fixa o intervalo.
A divulgação faz parte do dever
O § 30(2) n.º 5 BSIG e o artigo 21(2)(e) da NIS 2 nomeiam a divulgação de vulnerabilidades a par do seu tratamento, para todas as entidades. Para os prestadores digitais que o CIR abrange, o ponto 6.10.2, alínea e), pede um procedimento alinhado com a política nacional de divulgação coordenada. Uma configuração mínima: uma caixa security@ que alguém lê, uma política curta e um ficheiro security.txt a apontar para ela.
BSI / programa CVD do CERT-Bund
O BSI opera o CERT-Bund, o CSIRT federal, e mantém um programa de divulgação coordenada de vulnerabilidades. Os investigadores podem comunicar através do CERT-Bund e o BSI coordena com os fabricantes afetados. O § 5(1) BSIG faz do BSI o coordenador nacional da divulgação coordenada de vulnerabilidades nos termos do artigo 12(1) da NIS 2. Se está a montar um processo de divulgação pela primeira vez, a diretriz de CVD do BSI é um bom modelo.
Base de dados europeia de vulnerabilidades (Artigo 12 da NIS 2)
O Artigo 12 da NIS 2 cria uma base de dados europeia de vulnerabilidades operada pela ENISA. As entidades podem divulgar-lhe vulnerabilidades voluntariamente. Não é um canal de comunicação obrigatório ao abrigo do Artigo 23. É um recurso de referência à escala da UE que agrega informação de vulnerabilidades entre Estados-Membros.
CSIRTs nacionais como coordenadores de CVD
Cada Estado-Membro designa um dos seus CSIRT como coordenador da divulgação coordenada de vulnerabilidades (artigo 12(1) da NIS 2). As leis nacionais podem ir além da diretiva (artigo 5), por isso verifique o texto nacional; difere também o CSIRT com que fala e a forma como funciona a sua coordenação.
Aplicamos correções na Patch Tuesday, isso chega.
Não para os prestadores digitais que o CIR abrange: o ponto 6.10.2, alínea c), diz que as vulnerabilidades críticas são tratadas sem demora injustificada. A Patch Tuesday é uma cadência de lançamento do fabricante. Um zero-day divulgado numa quinta-feira com exploração ativa não espera até à terça-feira seguinte. Uma cadência de correções para as rotineiras mais um processo extraordinário para as questões críticas cobre ambos os casos.
Não temos processo de CVD porque nunca ninguém nos reporta vulnerabilidades.
Para os prestadores digitais que o CIR abrange, o ponto 6.10.2, alínea e), pede o procedimento logo à partida, não quando as comunicações começarem a chegar. Para todos os outros, a divulgação está nomeada no § 30(2) n.º 5 BSIG sem forma prescrita. Uma caixa security@ e uma política de uma página são, de qualquer modo, um passo pequeno e sensato.
A análise de vulnerabilidades é tarefa da equipa de segurança.
É, até ler o §6.10.2(d): o tratamento de vulnerabilidades tem de ser consistente com a gestão de alterações, a gestão de correções, a gestão de risco e a gestão de incidentes. Isso faz da gestão de vulnerabilidades um processo entre equipas que toca as operações de TI, o desenvolvimento e o risco, não uma atividade de segurança isolada.
O lado da divulgação é a metade subdocumentada. Um mínimo realista: uma caixa security@seudominio.com encaminhada para duas pessoas, uma política de divulgação de uma página e um ficheiro security.txt em /.well-known/security.txt a apontar para a caixa. Quanto aos prazos, a diretriz de CVD do BSI espera que o fabricante confirme a receção de uma comunicação no prazo de três dias úteis e dá 45 a 90 dias para a corrigir, o intervalo habitual a nível internacional.
- Diretiva (UE) 2022/2555 (NIS 2), Artigo 12 e Artigo 21(2)(e). eur-lex.europa.eu/eli/dir/2022/2555/oj
- Regulamento de Execução (UE) 2024/2690 da Comissão (CIR), Anexo §6.10. eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Lei do BSI (BSIG), §30(2)(5) com a redação dada pela Lei de Implementação da NIS2 e de Reforço da Cibersegurança
- Programa de divulgação coordenada de vulnerabilidades BSI / CERT-Bund. bsi.bund.de
- Base de dados europeia de vulnerabilidades da ENISA (Artigo 12 da NIS 2)
Na prática
Onde isto aparece no percurso guiado
O percurso guiado transforma isto em passos que preenche, com a lei explicada ao lado de cada um. Abra um passo para ver o seu ecrã, preenchido para uma empresa fictícia.
O percurso em si está em alemão e em inglês.
Procurement & Development
Write the rules for buying, updates and vulnerabilities
What you check when buying, how updates arrive and who closes gaps.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
