NIS2: o grande desafio que chega às PME (e porque não é só um tema "de grandes empresas")

Nos últimos meses tivemos inúmeras conversas com empresas que começam a ouvir falar da NIS2 como se fosse uma regulamentação distante, pensada apenas para infraestruturas críticas ou empresas com milhares de colaboradores. No entanto, a realidade é outra: a NIS2 chega com um âmbito muito mais amplo e terá um impacto direto em milhares de organizações espanholas, sobretudo em setores onde operam PME que nunca antes tiveram de cumprir obrigações de cibersegurança tão rigorosas.

De acordo com a Comissão Europeia, a NIS2 tem como objetivo elevar drasticamente o padrão mínimo de segurança em toda a União, obrigando cada elo da cadeia, grande ou pequeno, a adotar controlos robustos. Nas palavras da ENISA, a agência europeia de cibersegurança, "a segurança da cadeia de abastecimento será um dos pilares fundamentais do novo enquadramento regulatório". E é aí que entram as PME: muitas atuam como fornecedores essenciais de empresas de maior dimensão, o que as torna peças críticas de um sistema muito mais amplo.

O problema estrutural: o fosso entre obrigações e capacidades

A própria OCDE salientou que as pequenas e médias empresas apresentam, em média, "um nível de maturidade em cibersegurança significativamente inferior" ao das grandes organizações, o que se traduz em falta de recursos, ferramentas, processos e talento especializado. Se a isto juntarmos que a NIS2 vai exigir medidas como gestão avançada de riscos, supervisão contínua, notificação obrigatória de incidentes em prazos apertados e controlo da cadeia de abastecimento, o desafio aumenta.

Muitas PME não têm hoje equipas de segurança dedicadas, inventários de ativos atualizados, planos de resposta a incidentes ou capacidades mínimas de monitorização. E, no entanto, segundo o Instituto Nacional de Cibersegurança espanhol (INCIBE), "a superfície de ataque das empresas espanholas tem aumentado de forma constante nos últimos anos, especialmente no segmento das PME".

Uma mudança cultural mais do que um cumprimento técnico

Um dos pontos mais relevantes, e menos discutidos, da NIS2 é que a responsabilidade final recai sobre a gestão de topo. De acordo com a Comissão Europeia, os administradores poderão até enfrentar responsabilidade pessoal se for demonstrada negligência na adoção de medidas de segurança adequadas.

Isto obriga a uma profunda mudança cultural: a segurança deixa de ser uma área "técnica" e passa a ser um assunto estratégico que influencia contratos, a reputação da empresa, a continuidade operacional e a capacidade de fazer negócios dentro e fora de Espanha.

O desafio mais subestimado: demonstrar a conformidade

A NIS2 não exige apenas implementar medidas; exige conseguir demonstrar que existem, que são aplicadas e que são revistas. E, como alertam vários estudos da Deloitte e da PwC, as empresas sem maturidade documental (demonstrável sobretudo através de políticas, processos, evidências, reporting, auditorias internas, etc.) terão sérias dificuldades em justificar a sua conformidade quando chegar o momento.

Para muitas PME, este será o maior desafio: passar de uma gestão informal para uma gestão estruturada, baseada em controlos verificáveis.

Uma oportunidade para profissionalizar a segurança

Embora pareça contraditório, a NIS2 também representa uma grande oportunidade. As empresas que começarem a preparar-se hoje poderão:

• diferenciar-se da concorrência,

• aceder a contratos com requisitos mais exigentes,

• reduzir a sua superfície de risco,

• e evitar sanções desnecessárias.

E isto não exige investimentos desproporcionados nem equipas de 10 pessoas. Exige metodologia, priorização e acompanhamento especializado.

Na Ciberseguridad 720 há meses que ajudamos PME a dar este salto: desde análises de lacunas face à NIS2 até à implementação de controlos técnicos, geração de evidências, desenho de processos, acompanhamento da gestão e criação de uma cultura de cibersegurança realista e sustentável.

A NIS2 não é o futuro, é o presente

A entrada em vigor da NIS2 não deve ser vista como um fardo, mas como um convite para profissionalizar a segurança e reduzir o risco num ambiente em que os ciberataques não param de crescer. Como afirmou a ENISA, "a resiliência do ecossistema europeu dependerá de que cada ator, grande ou pequeno, assuma o seu papel na proteção coletiva".

As PME têm agora a oportunidade, e a obrigação, de o fazer.

Se precisa de perceber como a NIS2 vai afetar a sua organização ou por onde começar, teremos todo o gosto em ajudar. Na Ciberseguridad 720 estamos a acompanhar empresas que, tal como a sua, querem preparar-se com visão e não com urgência.