Empresa brasileira precisa se preocupar com a NIS2?

Precisa em dois cenários. O primeiro é oferecer serviço dentro da União Europeia em um dos setores alcançados, caso em que a lei chega até você mesmo com a sede no Brasil. O segundo, muito mais comum, é ser fornecedor de uma empresa europeia que está no alcance: ela é obrigada a controlar a segurança da própria cadeia, então repassa a exigência para o contrato com você.

Quais são os prazos de aviso de incidente?

São três marcos. Em até 24 horas depois de tomar conhecimento, um alerta inicial. Em até 72 horas, a notificação completa, com avaliação do incidente. Em até um mês, o relatório final, com causa, impacto e medidas adotadas. Esses prazos costumam ser a maior fonte de dor de cabeça, porque exigem um processo ensaiado, e não improviso na hora da crise.

Qual a diferença entre NIS2 e DORA?

A NIS2 é a regra geral, que alcança vários setores críticos. A DORA é a regra específica do setor financeiro europeu e prevalece sobre a NIS2 para quem está nele. A DORA é mais dura em vários pontos, a começar pelo aviso inicial, que ela reduz para 4 horas, e é mais detalhada quanto a testes de resiliência e a contratos com prestadores de tecnologia.

Qual é o tamanho da multa?

Depende da classificação. Para entidades essenciais, a diretiva prevê até 10 milhões de euros ou 2% do faturamento anual mundial, o que for maior. Para entidades importantes, até 7 milhões de euros ou 1,4% do faturamento. Além da multa, há a responsabilização pessoal de quem dirige a empresa, que pode incluir a suspensão temporária do exercício da função.

Regulação e compliance

NIS2 vs ISO 27001

A NIS2 é uma lei da União Europeia: quem está no alcance dela cumpre porque é obrigado, sob risco de multa alta e de responsabilização pessoal da diretoria. A ISO 27001 é uma norma voluntária que rende certificado. Ter a ISO 27001 entrega boa parte do que a NIS2 cobra em matéria de controles, mas não entrega os prazos de notificação de incidente nem o controle da cadeia de fornecedores.

Ver governança e compliance Ir para a comparação

Em resumo

A NIS2 é obrigatória e alcança 18 setores considerados críticos na União Europeia, com multas que chegam a milhões de euros.
A ISO 27001 é voluntária, certificável e reconhecida no mundo inteiro, mas nenhum país aceita o certificado como cumprimento automático da lei.
A NIS2 fixa prazos duros de aviso: alerta inicial em 24 horas, notificação em 72 horas e relatório final em um mês.
Empresa brasileira entra na conta quando presta serviço na Europa ou quando é fornecedora de quem está no alcance da lei.

Lado a lado

O que separa uma lei de uma norma

O que comparar	NIS2	ISO/IEC 27001
O que é	Diretiva da União Europeia, transposta para a lei de cada país membro.	Norma internacional voluntária, com certificado.
Obrigatoriedade	Obrigatória para quem está no alcance, com multa.	Voluntária. Você adota porque quer ou porque o cliente pede.
Quem alcança	Entidades essenciais e importantes de 18 setores críticos.	Qualquer organização, no escopo que ela mesma definir.
Aviso de incidente	Alerta em 24 horas, notificação em 72 horas, relatório final em um mês.	Exige processo de gestão de incidentes, sem fixar prazo externo.
Responsabilidade da diretoria	Explícita: a direção aprova, acompanha e responde pessoalmente.	Exige comprometimento da direção, sem sanção pessoal prevista.
Cadeia de fornecedores	Exige avaliar e controlar fornecedores diretos e prestadores de serviço.	Traz controles de fornecedor, com menos detalhe do que a lei cobra.
Prova	Fiscalização da autoridade nacional, que pode auditar e multar.	Certificado emitido por organismo acreditado.
Sanção	Até 10 milhões de euros ou 2% do faturamento mundial nas entidades essenciais.	Perda do certificado, sem multa.

A NIS2 é a regra geral. No setor financeiro europeu vale a DORA, que é mais específica e mais dura, com aviso inicial em 4 horas.

A lei com prazo e multa

NIS2

Substituiu a diretiva anterior e ampliou muito o alcance: passou a valer para 18 setores considerados críticos, de energia e saúde a serviços digitais e gestão de resíduos. Divide as empresas em essenciais e importantes, com fiscalização e multas diferentes para cada grupo. Fixa medidas mínimas de gestão de risco, prazos rígidos de notificação e responsabilidade direta de quem dirige a empresa. E puxa a corda para baixo na cadeia: quem está no alcance passa a exigir segurança dos próprios fornecedores.

Obrigatória, com multa de milhões de euros
18 setores críticos, divididos em essenciais e importantes
Alerta em 24 horas e notificação em 72 horas
A diretoria responde pessoalmente

A norma que organiza e certifica

ISO/IEC 27001

Estrutura a gestão da segurança da informação em ciclo: escopo, análise de risco, escolha justificada de controles, medição e correção. É voluntária e vale para qualquer setor. Um auditor externo confere e emite o certificado, aceito em qualquer mercado. Para quem precisa cumprir a NIS2, ela é o melhor atalho existente, porque monta a maior parte da estrutura de gestão de risco que a lei exige e deixa a evidência arrumada para a fiscalização.

Voluntária, certificável e reconhecida no mundo inteiro
Monta a gestão de risco que a NIS2 cobra
Deixa evidência pronta para a autoridade
Serve a qualquer setor, dentro e fora da Europa

Como se completam

A norma é atalho, não passe livre

Quem já tem um sistema de gestão maduro em ISO 27001 chega na NIS2 com boa parte das medidas de gestão de risco resolvidas: política, análise de risco, controle de acesso, continuidade, tratamento de incidentes, gestão de fornecedores. O que a norma não resolve sozinha são as obrigações que a lei criou por cima: cumprir os prazos de aviso à autoridade, manter o registro de fornecedores no formato que a fiscalização quer, provar que a direção aprovou e acompanhou, e seguir o regime de testes exigido. É um trabalho a mais, porém pequeno perto de começar do zero.

A ISO 27001 entrega a maior parte das medidas de gestão de risco
Os prazos de notificação e o registro de fornecedores continuam sendo trabalho extra
Nenhum país aceita o certificado como cumprimento automático da lei

Qual é o seu caso

Por onde começar

Você não sabe se está no alcance da NIS2

Comece por um enquadramento

Setor, porte e o que você vende na Europa definem se você é entidade essencial, importante ou nenhuma das duas.

Você é fornecedor de uma empresa europeia

Prepare-se para o questionário

Mesmo fora do alcance direto, seu cliente passará a exigir de você o que a lei exige dele. A ISO 27001 responde quase tudo.

Você está no alcance direto da lei

ISO 27001 como base, NIS2 como camada

Certifique o sistema de gestão e acrescente por cima os prazos, o registro de fornecedores e a evidência de governança.

Números que importam

24 h

para o alerta inicial de incidente

72 h

para a notificação completa à autoridade

10 mi €

ou 2% do faturamento mundial, o que for maior

Como a DM11 resolve

Do enquadramento na NIS2 ao certificado ISO 27001

A gente começa dizendo se e como a lei alcança você, monta a base da ISO 27001 e acrescenta por cima o que a NIS2 pede a mais: prazos de aviso ensaiados, registro de fornecedores e evidência de que a direção acompanha.

Você descobre logo se está no alcance direto ou só como fornecedor
O prazo de 24 e 72 horas deixa de ser risco: o processo é ensaiado antes de precisar
A diretoria recebe o que precisa para aprovar e acompanhar sem virar especialista
Um projeto só resolve a certificação e a exigência legal, sem duplicar esforço

Falar sobre NIS2 e ISO 27001

Dúvidas frequentes

O que perguntam antes de decidir

Respostas conferidas contra a Diretiva (UE) 2022/2555 e a ISO/IEC 27001:2022.

Não é suficiente sozinha, mas é o maior atalho que existe. A norma monta a gestão de risco, os controles e a evidência que a lei cobra. Fora dela ficam os prazos de notificação à autoridade, o controle documentado da cadeia de fornecedores, a responsabilidade formal da direção e o regime de testes. Nenhum país da União Europeia aceita o certificado como cumprimento automático.

Mais dúvidas? Fale com a DM11

Descubra se a NIS2 alcança a sua empresa, e o que fazer a respeito

Uma conversa curta esclarece o enquadramento e mostra quanto do caminho a ISO 27001 já resolve.

Falar com um especialista Ver governança e compliance

NIS2 vs ISO 27001

O que comparar

NIS2

ISO/IEC 27001

O que é

Diretiva da União Europeia, transposta para a lei de cada país membro.

Norma internacional voluntária, com certificado.

Obrigatoriedade

Obrigatória para quem está no alcance, com multa.

Voluntária. Você adota porque quer ou porque o cliente pede.

Quem alcança

Entidades essenciais e importantes de 18 setores críticos.

Qualquer organização, no escopo que ela mesma definir.

Aviso de incidente

Alerta em 24 horas, notificação em 72 horas, relatório final em um mês.

Exige processo de gestão de incidentes, sem fixar prazo externo.

Responsabilidade da diretoria

Explícita: a direção aprova, acompanha e responde pessoalmente.

Exige comprometimento da direção, sem sanção pessoal prevista.

Cadeia de fornecedores

Exige avaliar e controlar fornecedores diretos e prestadores de serviço.

Traz controles de fornecedor, com menos detalhe do que a lei cobra.

Prova

Fiscalização da autoridade nacional, que pode auditar e multar.

Certificado emitido por organismo acreditado.

Sanção

Até 10 milhões de euros ou 2% do faturamento mundial nas entidades essenciais.

Perda do certificado, sem multa.

NIS2

Obrigatória, com multa de milhões de euros

18 setores críticos, divididos em essenciais e importantes

Alerta em 24 horas e notificação em 72 horas

A diretoria responde pessoalmente

ISO/IEC 27001

Voluntária, certificável e reconhecida no mundo inteiro

Monta a gestão de risco que a NIS2 cobra

Deixa evidência pronta para a autoridade

Serve a qualquer setor, dentro e fora da Europa

A norma é atalho, não passe livre

A ISO 27001 entrega a maior parte das medidas de gestão de risco

Os prazos de notificação e o registro de fornecedores continuam sendo trabalho extra

Nenhum país aceita o certificado como cumprimento automático da lei

Do enquadramento na NIS2 ao certificado ISO 27001

Você descobre logo se está no alcance direto ou só como fornecedor

O prazo de 24 e 72 horas deixa de ser risco: o processo é ensaiado antes de precisar

A diretoria recebe o que precisa para aprovar e acompanhar sem virar especialista

Um projeto só resolve a certificação e a exigência legal, sem duplicar esforço