A Diretiva NIS2 sobre cibersegurança entrou em vigor a nível europeu há vários anos. Não se limita a exigir que as organizações europeias adquiram novas ferramentas de segurança. Exige que o risco cibernético seja gerido através de processos técnicos, operacionais e organizacionais verificáveis: desde a gestão de incidentes à continuidade operacional, passando pelo controlo de alterações e pela segurança da cadeia de fornecimento.
O ponto-chave é este: muitos destes processos já existem no âmbito do IT Service Management. O problema é que, em numerosas organizações, a conformidade com a NIS2 continua a ser tratada como um projeto isolado, delegado quase exclusivamente às equipas de cibersegurança, gestão de risco ou jurídico.
Entretanto, uma parte considerável das evidências exigidas pelos reguladores continua a ser produzida diariamente pelo service desk, pelos workflows de incident management, pelos processos de change management e pelos sistemas de gestão de fornecedores.
Por conseguinte, o verdadeiro desafio que muitas empresas têm pela frente não consiste em criar novos controlos de raiz. Consiste em ligar as obrigações regulamentares — como as previstas na Diretiva NIS2 — e os requisitos de conformidade aos processos ITSM já existentes, aumentar o seu nível de maturidade e transformar os dados operacionais em evidências de conformidade fiáveis.
É nisto que nos concentraremos neste artigo.
Do requisito normativo à governação operacional
Comecemos por recuar um pouco e enquadrar a questão com um caso concreto. A Diretiva NIS2, formalmente Diretiva UE 2022/2555, entrou em vigor a 16 de janeiro de 2023. Os Estados-Membros deviam transpô-la até 17 de outubro de 2024 e as novas regras europeias começaram a aplicar-se a partir de 18 de outubro de 2024 através das respetivas legislações nacionais. Para as organizações que operam em vários países europeus, é, por isso, necessário verificar também as condições específicas de transposição em cada jurisdição.
O âmbito de aplicação é muito mais alargado do que o da anterior NIS. Abrange organizações públicas e privadas pertencentes a 18 setores críticos, incluindo energia, transportes, saúde, infraestruturas digitais, serviços cloud, centros de dados, serviços ICT geridos, administração pública, produção industrial e investigação.
Mas a mudança mais importante não se prende apenas com o número de entidades abrangidas.
A Diretiva NIS2 integra a cibersegurança na governação das organizações. Os órgãos de gestão devem aprovar e supervisionar as medidas de gestão do risco cibernético e podem ser chamados a responder pelas deficiências da organização. A segurança deixa, assim, de poder ficar confinada ao SOC ou ser delegada a um grupo restrito de especialistas. Tem de passar a fazer parte do funcionamento corrente da organização.
E é precisamente aqui que o ITSM entra em jogo.
Porque a conformidade passa pelo IT Service Management
Um ambiente ITSM maduro assenta em vários princípios que estão diretamente alinhados com as exigências de uma diretiva como a NIS2:
- responsabilidades definidas;
- classificação e priorização de eventos;
- escalamento baseado em regras;
- SLA e limiares temporais;
- aprovação e rastreamento de alterações;
- conhecimento dos ativos e serviços envolvidos;
- monitorização do desempenho dos fornecedores;
- documentação completa das atividades;
- melhoria contínua.
Um ticket corretamente gerido não é apenas um pedido operacional. É uma sequência documentada de decisões, responsabilidades, comunicações e ações.
Da mesma forma, um change record não é simplesmente a autorização para instalar uma nova versão de software. Pode servir como evidência de que a organização avaliou os riscos, analisou os impactos, definiu um plano de rollback e obteve as aprovações necessárias.
É o mesmo princípio já abordado no nosso artigo anterior dedicado à integração da IA no ITSM à luz do EU AI Act [inserir link]: quanto mais a tecnologia se integra nos processos empresariais, maior é a necessidade de definir responsáveis, controlos, documentação e audit trails.
Em ambos os casos, a plataforma ITSM pode tornar-se a ponte entre as políticas e a operação. É neste ponto que a conformidade deixa de ser um conjunto de documentos e passa a fazer parte dos processos operacionais.
Incident management: cumprir os prazos começa no primeiro ticket
Vejamos agora um exemplo mais concreto relacionado com a Diretiva NIS2. Esta introduz um processo de notificação em várias fases para incidentes significativos. Em termos gerais, estão previstos:
- um early warning no prazo de 24 horas após a organização tomar conhecimento do incidente;
- uma notificação no prazo de 72 horas, incluindo uma primeira avaliação;
- um relatório final no prazo de um mês, com detalhes sobre o impacto, as causas e as medidas corretivas adotadas.
Cumprir estes prazos não depende apenas da capacidade da equipa de segurança. Depende do que acontece nos primeiros minutos no service desk.
O workflow de incident management deve, antes de mais, distinguir de forma fiável um problema técnico de rotina de um potencial incidente de segurança. Deve depois recolher imediatamente as informações necessárias: serviço envolvido, ativos impactados, utilizadores afetados, origem da comunicação, nível de criticidade, possível propagação, dependências e impacto no negócio.
A classificação não pode depender exclusivamente do julgamento de cada operador. São essenciais categorias partilhadas, matrizes de prioridade e regras de escalonamento.
Um ticket potencialmente relevante no âmbito da NIS2 deve ativar automaticamente:
- a notificação ao responsável de cibersegurança;
- o envolvimento do incident manager;
- a criação de uma cronologia verificável;
- a aplicação de SLA coerentes com os prazos normativos;
- a conservação das evidências técnicas e das decisões tomadas;
- o início do workflow de comunicação com a gestão e as equipas jurídica e de conformidade.
Uma solução de Incident Management Automation como a da EasyVista permite centralizar o registo, a classificação, a atribuição e a monitorização dos incidentes, reduzindo o risco de um incidente grave ficar perdido num e-mail, numa conversa ou numa fila genérica.
Este é um primeiro passo concreto rumo à conformidade.
Change management: nenhuma alteração sem uma avaliação de risco
Nem todos os incidentes resultam de um ataque externo. Uma parte significativa dos problemas tem origem em alterações mal planeadas, configurações incorretas, atualizações incompletas ou mudanças introduzidas sem uma avaliação adequada das dependências.
Por isso, o change management é uma das ligações mais importantes entre a Diretiva NIS2, a conformidade ITSM e a gestão quotidiana dos serviços.
Um workflow preparado para responder aos requisitos de conformidade deve documentar, no mínimo:
- o motivo e o objetivo da alteração;
- serviços, ativos e configurações envolvidos;
- avaliação do impacto operacional e de segurança;
- dependências técnicas;
- aprovações recebidas;
- plano de testes;
- janela de implementação;
- plano de rollback;
- resultado da alteração;
- eventuais incidentes ou vulnerabilidades subsequentes.
As alterações padrão e de baixo risco podem ser automatizadas. Já as que envolvem serviços essenciais, acessos privilegiados, configurações de segurança ou componentes expostos devem prever controlos mais robustos e, quando necessário, o envolvimento dos responsáveis de segurança.
Supplier management: a cadeia de fornecimento deve entrar nos workflows ITSM
A segurança da cadeia de fornecimento é um dos pilares da Diretiva NIS2.
As organizações devem considerar não apenas os riscos presentes nos seus próprios sistemas, mas também os associados aos fornecedores diretos de produtos e serviços ICT. Cloud providers, managed service providers, software vendors, parceiros de suporte e outsourcers podem representar dependências essenciais para a prestação de serviços.
Já não basta incluir uma cláusula genérica num contrato.
Por conseguinte, o supplier management deveria incluir:
- um inventário atualizado dos fornecedores e dos serviços prestados;
- a classificação dos vendors por criticidade;
- o mapeamento entre fornecedor, contrato, serviço e ativo;
- requisitos mínimos de segurança;
- prazos obrigatórios de notificação de incidentes;
- direitos de verificação e auditoria;
- procedimentos de escalonamento;
- avaliações periódicas de risco.
Então, o que significa ser “compliance-ready” no ITSM?
Não existe uma resposta única a esta pergunta.
Estar preparado para responder aos requisitos de conformidade não significa poder declarar que uma plataforma, por si só, “garante a conformidade com a Diretiva NIS2”.
A conformidade depende da interação entre pessoas, processos, tecnologias, governação e medidas de segurança. Uma plataforma ITSM pode, no entanto, fornecer a arquitetura operacional necessária para aplicar os controlos e produzir as respetivas evidências.
Um ambiente ITSM preparado para a conformidade deve conseguir responder rapidamente a questões muito concretas:
- Quem classificou este incidente e com base em que critérios?
- Quando começou a contagem das 24 horas?
- Que serviços e ativos estiveram envolvidos?
- Quem autorizou uma alteração crítica?
- Que avaliação de risco foi efetuada?
- Que fornecedor era responsável pelo componente?
- Que ações corretivas foram concluídas?
- Como foram verificadas?
- O que mudou após a post-incident review?
A capacidade de responder a estas questões não deve depender da memória das pessoas. Deve resultar diretamente dos workflows, dos registos e dos audit trails.
É por isso que produtos como o EV Service Manager permitem estruturar os processos de service management, centralizar a informação e automatizar atividades de atribuição, escalamento, aprovação e reporting.
Conclusões
A Diretiva NIS2, tal como outras regulamentações europeias, não deveria criar uma segunda infraestrutura de processos a funcionar em paralelo com as operações de TI.
Incident management, change management, problem management, asset management e supplier management são já o tecido conjuntivo através do qual os serviços são geridos. Separar a conformidade destes processos significa duplicar as atividades, aumentar os custos e produzir evidências fragmentadas.
Integrá-la no IT Service Management significa, pelo contrário, transformar cada ticket, aprovação, escalamento e verificação numa parte coerente da governação.
O resultado é uma dupla vantagem. Por um lado, a organização melhora a capacidade de demonstrar a sua conformidade. Por outro, torna-se genuinamente mais resiliente: deteta mais cedo os incidentes, coordena melhor a resposta, controla as alterações, conhece as dependências e gere os fornecedores de forma mais rigorosa.
FAQ
Que é a Diretiva NIS2?
A NIS2 é a diretiva europeia que reforçou e alargou as obrigações de cibersegurança aplicáveis às organizações que operam em setores críticos. Introduz requisitos relativos à gestão do risco, à resposta e notificação de incidentes, à continuidade operacional, à segurança da cadeia de fornecimento e à responsabilidade dos órgãos de gestão.
De que forma o ITSM suporta a conformidade europeia?
O ITSM oferece processos estruturados para registar, classificar, atribuir, monitorizar e documentar incidentes, alterações, problemas, ativos e atividades dos fornecedores. Estes processos ajudam a implementar, por exemplo, controlos exigidos pela NIS2 e a produzir audit trails e evidências verificáveis.
Uma plataforma ITSM garante automaticamente a conformidade europeia?
Não. Nenhum software garante por si só a conformidade. Uma plataforma ITSM pode, no entanto, ajudar a implementar processos, automatizar controlos, recolher informação, facilitar a colaboração entre equipas e produzir as evidências necessárias.
