Software NIS2
para conformidade e gestão de riscos

A NIS2 é a Diretiva (UE) 2022/2555 relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União. Obriga as entidades importantes e essenciais a adotar medidas de gestão de riscos, a notificar incidentes significativos e a registar-se, e responsabiliza a administração. Na Alemanha, a lei de transposição da NIS2 (NIS2-Umsetzungsgesetz) transpô-la para a lei do BSI (BSIG), cuja nova versão está em vigor desde 6 de dezembro de 2025.

Um software NIS2 representa as obrigações da NIS2 num só modelo de dados — âmbito de aplicação, ativos, requisitos, riscos, medidas, incidentes de segurança e evidências — e liga-os entre si. Na prática, é um software ISMS que já traz o catálogo de requisitos da NIS2: em vez de manter à mão a coerência de folhas de cálculo, mantém cada objeto uma só vez, e os relatórios e dashboards são gerados a partir dos dados.

Um software para a implementação da NIS2 não substitui o trabalho, organiza-o: os requisitos da NIS2 estão disponíveis como catálogo, e cada um é avaliado, justificado e comprovado com evidências. Os riscos e as medidas estão associados aos ativos a que dizem respeito, com prazos e responsáveis registados. Assim, a conformidade NIS2 pode ser documentada e o ponto de situação comunicado a qualquer momento — sem que ninguém tenha de juntar folhas de cálculo.

A Complaica apoia toda a implementação da NIS2: as dez medidas de gestão de riscos nos termos do § 30 BSIG, para os tipos de entidades abrangidos o Regulamento de Execução (UE) 2024/2690 com os artigos 1.º a 14.º e as 13 áreas temáticas do seu anexo, a gestão de incidentes de segurança com os prazos de notificação nos termos do § 32 BSIG e a vista para a administração nos termos do § 38 BSIG. Os catálogos são avaliados na sua árvore de ativos.

O § 30 BSIG enumera dez domínios que as medidas têm de abranger, no mínimo: análise dos riscos e políticas de segurança, tratamento de incidentes, continuidade das atividades e gestão de crises, segurança da cadeia de abastecimento, segurança na aquisição, desenvolvimento e manutenção, avaliação da eficácia, formação, criptografia, segurança dos recursos humanos e controlo do acesso, bem como autenticação multifatores e comunicações seguras. As medidas têm de ser adequadas, proporcionadas e eficazes, e o seu cumprimento tem de ser documentado.

Dá execução à Diretiva NIS2. Os artigos 1.º e 2.º estabelecem, com o anexo, os requisitos técnicos e metodológicos das medidas de gestão de riscos; os artigos 3.º e 4.º determinam quando um incidente de segurança é considerado significativo; os artigos 5.º a 14.º fazem-no para tipos específicos de entidades — dos prestadores de serviços de DNS, passando pelos serviços de computação em nuvem e de centro de dados, até aos prestadores de serviços de confiança. O regulamento aplica-se diretamente apenas a esses tipos de entidades.

O Regulamento de Execução (UE) 2024/2690 aplica-se diretamente apenas aos tipos de entidades que ele próprio enumera: prestadores de serviços de DNS, registos de nomes de TLD, prestadores de serviços de computação em nuvem e de serviços de centro de dados, fornecedores de redes de distribuição de conteúdos (CDN), prestadores de serviços geridos e de serviços de segurança geridos (managed service providers, managed security service providers), prestadores de serviços de mercados em linha, de motores de pesquisa em linha e de plataformas de serviços de redes sociais, bem como prestadores de serviços de confiança. Para todas as outras entidades importantes e essenciais aplicam-se as obrigações decorrentes do BSIG; o regulamento pode servir-lhes de orientação, mas não é vinculativo para elas.

Os incidentes de segurança significativos têm de ser notificados, nos termos do § 32 BSIG, ao ponto de notificação conjunto do BSI e do BBK: com um alerta rápido, uma notificação e um relatório final e, a pedido do BSI, também com relatórios intercalares. A Complaica gere os incidentes de segurança com marcas temporais, responsáveis e prazos e regista cada passo com autor e data. A notificação propriamente dita é feita por si junto do ponto de notificação.

Ambos os prazos correm a partir do momento em que a entidade toma conhecimento de um incidente de segurança significativo. No prazo de 24 horas é devido o alerta rápido; no prazo de 72 horas, a notificação, que confirma ou atualiza as primeiras informações. O mais tardar um mês após essa notificação segue-se o relatório final; se o incidente ainda estiver em curso, um relatório intercalar toma o seu lugar.

Os prestadores de serviços e os fornecedores são geridos como ativos e ligados aos processos de negócio e aos serviços que deles dependem. Por fornecedor, é possível avaliar requisitos, identificar e tratar riscos de fornecedores e guardar evidências. O grafo e a matriz de dependências mostram que serviço depende de que fornecedor.

Nos termos do § 38 BSIG, a administração tem de implementar as medidas de gestão de riscos, supervisionar a sua implementação e participar regularmente em ações de formação. Por isso, os dashboards e os relatórios da Complaica estão concebidos para a perspetiva da administração: o grau de cumprimento, os maiores riscos e as medidas em aberto numa só página.

Cada requisito recebe um estado de implementação. A Complaica acumula-o de baixo para cima — do requisito, passando pela área temática, até à organização — e mostra-o em dashboards: como valor global, por área temática, por local e em comparação com o mês anterior. O grau de cumprimento é um apuramento da Complaica a partir das suas próprias avaliações, e não um indicador fixado pelas autoridades.

A abrangência decorre do setor, da dimensão e da atividade. São abrangidas as entidades dos setores dos anexos 1 e 2 do BSIG — por exemplo, energia, transportes, saúde, infraestrutura digital, serviços TIC ou indústria transformadora — em regra a partir de 50 colaboradores ou com mais de 10 milhões de euros de volume de negócios anual e de balanço total anual; algumas entidades são abrangidas independentemente da sua dimensão. Teremos todo o gosto em verificar consigo se a sua empresa é abrangida.

A NIS2 é legislação, a ISO 27001 é uma norma para o ISMS — em termos de conteúdo, ambas se sobrepõem em muitos temas, da gestão de riscos ao controlo do acesso. Na Complaica, a NIS2 e a ISO 27001 são avaliadas no mesmo modelo de âmbito e usam os mesmos ativos, riscos, medidas e evidências. O mesmo vale para TISAX, BSI IT-Grundschutz, DORA, RGPD e ISO 22301: o que já está documentado pode — na medida em que seja adequado em termos de conteúdo — ser utilizado para cada referencial a que diz respeito.

Cobre uma parte substancial dos requisitos do § 30 BSIG, mas não substitui o registo nem as obrigações de notificação e de prova. Na Complaica, ambos os referenciais usam os mesmos ativos, riscos, medidas e evidências; a diferença surge como lista de requisitos em aberto.

Não. A NIS2 é legislação, não uma norma de certificação: não existe um certificado NIS2 para entidades nem para software. A entidade tem de implementar as medidas e poder comprová-lo a pedido da autoridade de supervisão; cabe à autoridade competente avaliar se a obrigação está cumprida. A Complaica mantém as evidências para esse efeito no objeto que comprovam.

Sim. A Complaica está disponível como SaaS e on-premises: a variante SaaS é alojada na Alemanha; on-premises, opera o software de conformidade NIS2 na sua própria infraestrutura. A licença custa o mesmo em ambos os casos.

Sim. A Complaica importa e exporta dados de e para Excel, através da REST API e de outras ferramentas ISMS; a migração dos seus dados é gratuita e acompanhada pelos nossos especialistas. Assim avalia a ferramenta com o seu próprio conjunto de dados em vez de dados de demonstração.

Através da REST API, sistemas de gestão de ativos e CMDB como i-doit, GLPI, FNT Command e outros, bem como Jira, SAP e Microsoft Azure. Os dados da aplicação estão disponíveis através de data marts para sistemas externos de análise e relatórios, e através de MCP pode ser ligado um assistente de IA.

Para um âmbito definido, os primeiros relatórios de estado sustentados costumam estar disponíveis ao fim de algumas semanas — consoante a documentação existente e os recursos disponíveis. Com conteúdos preparados e consultoria, as organizações mais pequenas situam-se no limite inferior.