Artigo
NIS2: por onde começar (antes de comprar seja o que for)
Escrevi há umas semanas que a NIS2 não é um tema de tecnologia — é um tema de gestão.
A pergunta que se segue é óbvia:
“então por onde começamos?”
A boa notícia: os primeiros passos não custam dinheiro.
A má notícia: custam decisões.
Passo 1 — Saber o que existe
Não se protege o que não se conhece.
Antes de qualquer investimento:
- que sistemas temos e quais são críticos?
- onde estão os dados importantes?
- quem tem acesso a quê?
- de que fornecedores dependemos?
Isto é um inventário, não um projeto de segurança.
E na maioria das empresas, não existe.
Passo 2 — Atribuir responsabilidade
A NIS2 é clara num ponto: a responsabilidade é da gestão.
Isso exige uma decisão interna:
👉 quem é o dono deste tema na empresa?
Não “o IT trata disso”.
Uma pessoa, com nome, com mandato da direção, que reporta à direção.
Sem dono, o tema não avança — avança-se em círculos.
Passo 3 — Tratar os básicos
Antes de qualquer ferramenta sofisticada, os básicos que travam a maioria dos incidentes:
- acessos revistos e reduzidos ao necessário
- autenticação forte nos sistemas críticos
- backups testados (restauro, não só cópia)
- atualizações em dia
- um procedimento escrito: “se acontecer X, quem faz o quê?”
Nada disto é novidade.
E é exatamente por isso que é revelador quantas empresas não o têm feito.
Passo 4 — Só depois, investir
Com o inventário feito, o dono definido e os básicos tratados, as decisões de investimento tornam-se racionais:
sabe-se o que proteger, contra o quê, e com que prioridade.
Sem esse trabalho, comprar ferramentas é responder a uma pergunta que ainda não foi feita.
Conclusão
A conformidade com a NIS2 não começa num orçamento.
Começa numa reunião de direção com três pontos:
- o que temos?
- quem é o responsável?
- os básicos estão feitos?
O resto é consequência.