Download gratuito
Conformidade e Auditoria

Diretiva NIS2
Checklist de prontidão

Diretiva da UE 2022/2555: Artigos 20, 21 e 23 | Entidades Essenciais e Importantes
Organização do Cliente
Nome do Cliente Ltda.
Referência do documento
XXX
Data da auditoria
2026
Auditor Líder
Versão da diretiva
UE 2022/2555 (NIS2)
Classificação de Entidades
Essencial/Importante
Autoridade Competente
A confirmar: Autoridade Nacional
Relatório de Status
Rascunho: Em revisão
Esta lista de verificação abrange todas as obrigações de governança do NIS2 (Artigo 20), as dez medidas obrigatórias de gerenciamento de riscos de cibersegurança (Artigo 21a–j), os requisitos de notificação de incidentes (Artigo 23) e os critérios de escopo e classificação da entidade. Clique em qualquer indicador de status para alternar entre SIM / PARCIAL / NÃO / N/A. As colunas Evidências e Observações são editáveis. Use Ctrl+P para imprimir ou salvar como PDF.
Aviso importante: Apenas para fins de orientação. Este documento foi elaborado pela Cyvra como uma ferramenta de trabalho interna para apoiar as atividades de preparação para a conformidade. Trata-se de um guia estruturado, não um instrumento regulatório oficial, e não constitui aconselhamento jurídico, regulatório ou profissional. A Cyvra não é um organismo de certificação, autoridade de acreditação ou reguladora. O preenchimento ou a pontuação desta lista de verificação não constitui certificação, aprovação de auditoria ou confirmação de conformidade regulatória. O conteúdo reflete a interpretação da Cyvra dos requisitos regulatórios publicamente disponíveis no momento da elaboração; pode não abranger todas as obrigações relevantes para a sua organização, pode não refletir atualizações regulatórias subsequentes e não deve ser considerado como uma declaração completa da legislação aplicável. A Cyvra não oferece qualquer garantia, expressa ou implícita, quanto à exatidão ou integridade deste documento. Na máxima extensão permitida por lei, a Cyvra não se responsabiliza por quaisquer perdas, penalidades ou danos decorrentes do uso ou da confiança neste documento. As organizações devem buscar aconselhamento jurídico e regulatório independente, adequado às suas circunstâncias específicas.
Checklist de prontidão NIS2: Governança, Escopo e Relatório de Incidentes
Página 2 de 4
0%
0Em conformidade
0Parcial
0Não Conforme
0N/A
de 0 controles avaliados
Como usar: Clique em um indicador de status para alternar entre SIM / PARCIAL / NÃO / N/A. Clique em Evidência ou Observações para digitar diretamente. A barra de pontuação é atualizada automaticamente.

Artigo 20: Governança e Responsabilidade do Órgão de Gestão

5 itens de verificação | Novo requisito NIS2
RefRequisitos e Pontos de Verificação de AuditoriaStatusEvidências NecessáriasNotas do Auditor
20.1Aprovação Formal do Órgão de Gestão
• O órgão de gestão (conselho de administração/diretoria executiva) aprovou formalmente a política e as medidas de gestão de riscos de cibersegurança?
• Existe alguma resolução escrita do conselho de administração ou documento de aprovação equivalente disponível?
• A aprovação é revista e reafirmada no mínimo anualmente?
—Resolução do conselho; política assinada; registros de aprovação da gerência
20.2Supervisão Ativa do Órgão de Gestão
• O órgão de gestão supervisiona ativamente a implementação de medidas de cibersegurança?
• Reuniões regulares de cibersegurança agendadas e registradas em ata ?
• O órgão de gestão recebe relatórios de incidentes e riscos em intervalos definidos?
—Atas de reuniões; painéis de gestão; registros de briefing de incidentes
20.3Treinamento em cibersegurança para a gestão
• Os membros do órgão de gestão recebem treinamento regular em cibersegurança que abrange as obrigações da NIS2?
• O programa de treinamento está documentado com tópicos, frequência e método de aplicação?
• Os registros de conclusão de treinamento são mantidos para todos os membros do órgão de gestão?
• O treinamento aborda o cenário atual de ameaças e as mudanças regulatórias?
—Programa de treinamento; certificados de conclusão; registros de frequência
20.4Autoridade Designada em Segurança Cibernética (CISO / Equivalente)
• Existe alguma autoridade formalmente designada responsável pela cibersegurança (CISO ou cargo equivalente)?
• O papel está definido com autoridade clara, responsabilidade e recursos adequados?
• A linha de reporte do CISO/autoridade para o órgão de gestão está documentada?
—Descrição de cargo; organograma; termos de referência; alocação de recursos
20.5Quadro de Responsabilidade e Prestação de Contas
• Os membros do órgão de gestão compreendem a responsabilidade pessoal nos termos do NIS2 (Artigo 20)?
• O regime de responsabilidade e sanções foi comunicado ao órgão de administração?
• Qual o processo para informar a administração sobre o estado de conformidade e os riscos materiais?
—Política de responsabilização; registros de assessoria jurídica; relatórios de conformidade ao conselho.

Classificação e âmbito de aplicação das entidades (Artigos 2, 3 e 6)

4 itens de verificação
RefRequisitos e Pontos de Verificação de AuditoriaStatusEvidências NecessáriasNotas do Auditor
SC.1Determinação da Classificação da Entidade
• A organização determinou formalmente sua classificação NIS2 (Entidade Essencial / Entidade Importante)?
• A decisão de classificação está documentada com fundamentação jurídica e critérios de dimensão/setor?
• A classificação é revista quando ocorrem mudanças organizacionais (fusões e aquisições, novos serviços, mudanças de setor)?
—Documento de determinação de classificação; parecer jurídico; confirmação setorial
SC.2Identificação do setor: Anexo I / Anexo II
• Os setores da organização foram corretamente identificados em relação aos Anexos da NIS2 (I: Energia, Transportes, Bancário, Saúde, Água, Infraestrutura digital; II: Correios, Gestão de resíduos, Produtos químicos, Alimentos, Indústria transformadora, Fornecedores digitais)?
• Todas as atividades setoriais aplicáveis foram documentadas?
• Se entidade crítica (Diretiva CER), quais as obrigações transversais à diretiva?
—Matriz de classificação setorial; Referência do anexo; Avaliação de sobreposição CER
SC.3Registro da Autoridade Nacional Competente
• A organização está registada junto da autoridade nacional competente (ANC) relevante, conforme exigido?
• Qual a NCA (Nova Classe A) identificada para cada setor aplicável?
• Ponto de contato (PoC) para notificações de cibersegurança registradas na NCA?
• Os canais de notificação nacionais/CSIRT foram confirmados?
—Confirmação de registro na NCA; Entrada no registro PoC; Detalhes de contato do CSIRT
SC.4Obrigações transfronteiriças e multijurisdicionais
• Se a empresa opera em vários Estados-Membros da UE, as obrigações para cada jurisdição são identificadas?
• O Estado-membro líder/estabelecimento principal foi identificado, se aplicável?
• Foi estabelecido um mecanismo de coordenação para a comunicação de incidentes transfronteiriços?
—Registro de jurisdições; designação do Estado-membro líder; procedimento de coordenação

Artigo 23: Obrigações de comunicação de incidentes

6 itens de verificação | Prazos de 24h / 72h / 1 mês
RefRequisitos e Pontos de Verificação de AuditoriaStatusEvidências NecessáriasNotas do Auditor
23.1Critérios e Classificação de Incidentes Significativos
• Quais os critérios para "incidente significativo" formalmente definidos no Artigo 23 (perturbação substancial, prejuízo financeiro, impacto transfronteiriço)?
• O procedimento de classificação de incidentes está documentado com os respectivos limiares de gravidade?
• Todos os funcionários e equipes de plantão foram treinados sobre os limites de notificação e escalonamento?
—Política de classificação de incidentes; matriz de gravidade; registros de treinamento
23.2Alerta antecipado: em até 24 horas
• Qual o procedimento para submeter um alerta precoce ao CSIRT/autoridade competente no prazo de 24 horas após tomar conhecimento de um incidente significativo?
• Existe um modelo/procedimento de notificação de 24 horas prontamente disponível para a equipe de plantão?
• Existe um canal de escalonamento disponível 24 horas por dia, 7 dias por semana, para a pessoa responsável por enviar o alerta antecipado?
• O alerta precoce abrange: tipo de incidente, avaliação inicial, se há suspeita de ataque?
—Procedimento de notificação em 24 horas; modelo; escala de plantão; registros de exercícios de teste
23.3Notificação de incidentes: em até 72 horas
• Notificação completa do incidente enviada à autoridade dentro de 72 horas após o conhecimento do ocorrido?
• A notificação inclui: avaliação inicial, serviços afetados, impacto estimado e medidas corretivas tomadas?
• A(s) pessoa(s) responsável(eis) pela submissão em 72 horas foram identificadas e treinadas?
• Qual o procedimento para atualizar a notificação caso novas informações se tornem disponíveis?
—Procedimento de notificação em 72 horas; modelo; contatos designados; submissões anteriores
23.4Relatórios Intermediários (Sob Solicitação)
• Qual o procedimento para fornecer relatórios intermediários à autoridade competente, mediante solicitação?
• A capacidade de atualização do progresso provisório está documentada?
• Foi mantido um registro de comunicação para todas as interações com as autoridades durante o incidente?
—Procedimento de relatório provisório; modelo de registro de comunicação
23.5Relatório Final: Dentro de 1 mês
• O relatório final do incidente foi submetido no prazo de 1 mês após a notificação inicial?
• O relatório final inclui: descrição detalhada, tipo de incidente, análise da causa raiz, remediação e prevenção de recorrência?
• A avaliação do impacto transfronteiriço foi incluída quando aplicável?
• O relatório pós-incidente foi arquivado e as lições aprendidas foram colocadas em prática?
—Modelo de relatório final; procedimento de análise da causa raiz; relatórios finais anteriores
23.6Notificação ao Cliente e aos Fornecedores a Jusante
• Qual o processo para notificar os clientes afetados ou os destinatários de serviços subsequentes sobre incidentes significativos?
• Os critérios de limite e prazo para notificação do cliente foram definidos?
• O modelo de comunicação para notificações ao cliente foi aprovado?
—Procedimento de notificação ao cliente; modelo; registros de comunicação
NIS2: Artigo 21 Medidas de Segurança (a–e): Risco, Incidentes, Plano de Continuidade de Negócios, Cadeia de Suprimentos, Rede
Página 3 de 4
RefRequisitos e Pontos de Verificação de AuditoriaStatusEvidências NecessáriasNotas do Auditor
Art. 21(a): Políticas sobre Análise de Riscos e Segurança de Sistemas de Informação
21a.1Metodologia de Avaliação de Riscos
• Metodologia documentada de avaliação de riscos de cibersegurança que abranja a identificação, análise e avaliação de riscos cibernéticos?
• A metodologia inclui escalas de probabilidade e impacto, e critérios de aceitação de risco?
• A metodologia é revista e atualizada anualmente?
—Documento de metodologia de risco; registro de riscos; registros de revisão
21a.2Política de Segurança da Informação
• A política geral de SI foi aprovada pelo órgão de gestão e publicada?
• A política abrange todas as áreas de segurança relevantes para o NIS2 (acesso, incidentes, cadeia de suprimentos, criptografia, etc.)?
• Controlado por versão, comunicado a todos os funcionários e disponível para as partes externas relevantes?
—Documento de Política de SI; comprovante de aprovação; registros de distribuição
21a.3Registro de Riscos Cibernéticos
• O registro de riscos cibernéticos é mantido atualizado com os riscos identificados, seus responsáveis e planos de tratamento?
• Os riscos são revistos no mínimo trimestralmente ou na ocorrência de alterações significativas?
• As ações de tratamento de risco foram acompanhadas até a sua conclusão, com responsabilização do proprietário?
—Registro de riscos; planos de tratamento; revisão de registros; rastreador de ações
21a.4Inteligência de Ameaças
• Os fluxos de informações sobre ameaças estão integrados aos processos de gestão de riscos?
• Informações específicas do setor (ENISA, CSIRT nacional, ISACs) são monitoradas?
• O panorama de ameaças é analisado nos relatórios de gestão?
—Assinaturas de inteligência de ameaças; evidências de integração de feeds; relatórios de gestão.
21a.5Revisão Anual e Orientada a Eventos de Risco
• A avaliação de riscos é realizada pelo menos anualmente e desencadeada por mudanças significativas?
• Resultados apresentados à administração com plano de ação?
• As decisões de risco foram documentadas com a aceitação do risco residual pelos responsáveis pelo risco?
—Relatórios anuais de avaliação de riscos; apresentação à gestão; registros de aceitação
Art. 21(b): Tratamento de incidentes (prevenção, detecção, análise, contenção, recuperação)
21b.1Plano de Resposta a Incidentes
• O Plano de Resposta a Incidentes (PRI) está documentado, aprovado pela gerência e testado pelo menos anualmente?
• O plano abrange todas as fases: detecção, análise, contenção, erradicação, recuperação e revisão pós-incidente?
• Quais são os papéis e responsabilidades atribuídos a cada fase?
—Documento IRP; registros de exercícios de teste; atribuições de funções
21b.2Capacidades de Detecção e Monitoramento
• Capacidades técnicas de monitoramento e detecção implantadas em toda a rede e sistemas?
• SIEM, IDS/IPS, EDR ou ferramentas equivalentes que fornecem alertas 24 horas por dia, 7 dias por semana, para sistemas críticos?
• A cobertura de detecção está documentada (ativos, categorias de alerta, SLAs de resposta)?
—Evidências da ferramenta SIEM/monitoramento; matriz de cobertura de alertas; documentação do SLA
21b.3Análise de Incidentes, Triagem e Manuais de Procedimentos
• Qual o procedimento definido para triagem de incidentes e classificação de gravidade?
• Os limites de escalonamento e as cadeias de comunicação estão documentados?
• Existem manuais/roteiros para tipos comuns de incidentes (ransomware, violação de dados, DDoS)?
—Procedimento de triagem; matriz de gravidade; manuais de procedimentos; árvore de escalonamento
21b.4Contenção e Erradicação
• Procedimentos para conter ameaças e isolar sistemas comprometidos?
• A capacidade de isolamento/quarentena da rede foi testada?
• Os procedimentos de remoção de malware, limpeza do sistema e reinstalação estão documentados?
—Procedimentos de contenção; registros de testes de isolamento; procedimentos de reconstrução
21b.5Procedimentos de Recuperação
• Os procedimentos de recuperação pós-incidente estão documentados com os RTOs definidos para os serviços críticos?
• As etapas de restauração do serviço, os testes de validação e o processo de aprovação foram documentados?
• Critérios definidos para o retorno às operações normais?
—Procedimentos de recuperação; definições de RTO/RPO; registros de testes de restauração
21b.6Análise pós-incidente e lições aprendidas
• Foi realizada uma revisão pós-incidente para todos os incidentes significativos?
• Lições aprendidas documentadas e ações atribuídas com responsáveis e prazos definidos?
• Os resultados da análise da causa raiz contribuem para a gestão de riscos e atualizações de políticas?
—Relatórios PIR; rastreador de ações; atualizações do registro de riscos; evidências de revisão de políticas
Art. 21(c): Continuidade de Negócios, Gestão de Backup, Recuperação de Desastres e Gestão de Crises
21c.1Plano de Continuidade de Negócios (PCN)
• O Plano de Continuidade de Negócios (PCN) documenta a cobertura de todos os serviços críticos de rede e informação?
• O Plano de Continuidade de Negócios (PCN) é testado pelo menos anualmente, incluindo cenários de incidentes cibernéticos?
• Os papéis do Plano de Continuidade de Negócios (PCN), os contatos de escalonamento e os critérios de ativação estão documentados?
—Documento BCP; relatórios de exercícios de teste; registros de ativação
21c.2Política de backup e testes
• Política de backup abrangendo escopo, frequência, período de retenção, local de armazenamento (incluindo externo/isolado da internet) e criptografia?
• Cópias de segurança de todos os sistemas críticos são feitas e a restauração é testada regularmente (no mínimo trimestralmente)?
• O tempo de verificação e restauração da integridade do backup foi medido?
—Política de backup; registros de backup; registros de teste de restauração; resultados da verificação de integridade
21c.3Plano de Recuperação de Desastres de TI
• O plano de recuperação de desastres de TI está alinhado com o plano de continuidade de negócios, abrangendo failover e recuperação de sistemas críticos?
• RTO e RPO definidos e acordados para todos os serviços críticos?
• Os testes de failover de DR são realizados pelo menos anualmente e os resultados são documentados?
—Plano de DR; Registro RTO/RPO; Resultados do teste de DR; Evidências de alinhamento do BCP
21c.4Procedimentos de Gestão de Crises
• Os procedimentos de gestão de crises para grandes eventos cibernéticos estão documentados?
• A composição, as funções e o plano de escalonamento da equipe de crise foram definidos?
• Plano de comunicação de crise que abranja comunicação interna, externa, com a mídia e com órgãos reguladores?
—Plano de gerenciamento de crises; composição da equipe; modelos de comunicação; registros de exercícios
21c.5Contatos de Emergência e Resiliência na Comunicação
• A lista de contatos de emergência (pessoal-chave, reguladores, fornecedores, autoridades) é mantida e revisada trimestralmente?
• Existe capacidade de comunicação fora de banda caso os sistemas primários sejam comprometidos?
• Os contatos foram testados durante os exercícios?
—Lista de contatos de emergência; revisão de registros; evidências de testes de comunicação fora da banda
Art. 21(d): Segurança da cadeia de suprimentos
21d.1Cadastro de Inventário e Riscos do Fornecedor
• Mantém-se um inventário completo de fornecedores terceirizados e prestadores de serviços críticos?
• Registro de riscos da cadeia de suprimentos com classificações de risco, classificação de criticidade e datas da última avaliação?
• Fornecedores categorizados por nível (crítico, significativo, padrão)?
—Inventário do fornecedor; registro de riscos da cadeia de suprimentos; critérios de classificação
21d.2Requisitos de segurança em contratos com fornecedores
• Os requisitos de cibersegurança estão incluídos em todos os contratos com fornecedores críticos?
• Cláusulas contratuais que abrangem: obrigações de notificação de incidentes, padrões mínimos de segurança, direitos de auditoria, proteção de dados?
• A conformidade com as diretrizes de segurança da cadeia de suprimentos da ENISA foi analisada?
—Exemplos de contratos com fornecedores; lista de verificação de cláusulas de segurança; evidências de revisão jurídica
21d.3Avaliações e auditorias de segurança de fornecedores
• São realizadas avaliações ou auditorias de segurança regulares em fornecedores críticos?
• Frequência de avaliação com base no nível de risco do fornecedor (crítico: anual, significativo: bienal)?
• Os resultados das avaliações foram acompanhados e os planos de remediação monitorados?
—Relatórios de avaliação de fornecedores; cronograma de avaliação; rastreador de remediação
21d.4Procedência de Software e Hardware
• Qual o processo para verificar a integridade e a autenticidade de software e hardware de fornecedores?
• Lista de materiais de software (SBOM) ou equivalente para componentes de software críticos?
• Monitoramento de vulnerabilidades de componentes de terceiros (rastreamento de CVEs, avisos de fornecedores)?
—Registros SBOM; processo de verificação de software; evidências de monitoramento de CVE
21d.5Controles de acesso de terceiros
• Acesso privilegiado e remoto por parte dos fornecedores, formalmente controlado, monitorizado e registado?
• Provisionamento de acesso just-in-time ou gravação de sessão para acesso crítico de fornecedores?
• Existe um processo formal de desligamento para relações com fornecedores encerradas?
—Registros de controle de acesso; registros de acesso JIT; gravações de sessão; lista de verificação de desligamento
Art. 21(e): Segurança de Redes, Aquisição Segura, Desenvolvimento e Manutenção
21e.1Arquitetura de Segurança de Rede
• A segmentação de rede, os controles de perímetro e a arquitetura de controle de acesso estão documentados?
• As políticas de firewall, DMZ e microsegmentação são implementadas e revisadas anualmente?
• O diagrama da arquitetura de rede está atualizado e preciso?
—Documentação da arquitetura de rede; revisão de regras de firewall; evidências de segmentação
21e.2Programa de Gestão de Vulnerabilidades
• Programa de varredura de vulnerabilidades que abrange todos os ativos e sistemas de rede em escopo?
• Vulnerabilidades críticas e de alta prioridade foram corrigidas dentro dos SLAs definidos (por exemplo, críticas em 72 horas, de alta prioridade em 14 dias)?
• Os KPIs de gestão de vulnerabilidades são monitorados e reportados à gestão?
—Relatórios de varredura; política de SLA de patches; relatórios de KPIs; registros de remediação
21e.3Ciclo de Vida de Desenvolvimento Seguro (SDLC)
• Existe uma política de SDLC segura que abranja design, revisão de código, testes e implantação?
• Ferramentas SAST/DAST integradas ao pipeline CI/CD para aplicações desenvolvidas?
• Testes de segurança (testes de penetração) são realizados para alterações significativas no sistema?
—Política SDLC; resultados SAST/DAST; relatórios de testes de penetração; evidências de revisão de código
21e.4Gestão de Mudanças
• Existe um processo formal de gestão de mudanças para todas as alterações de SI/rede com avaliação de impacto na segurança?
• As alterações foram testadas e aprovadas antes da implementação em produção?
• A capacidade de revisão e reversão pós-alteração foi documentada e testada?
—Processo de gestão de mudanças; registros do CAB; formulários de avaliação de segurança; planos de reversão
21e.5Política de Divulgação de Vulnerabilidades
• Existe uma política de divulgação responsável de vulnerabilidades (RVD) publicada e acessível?
• Canal de comunicação para pesquisadores de segurança externos (security.txt ou equivalente)?
• O processo de coordenação do CVE e de divulgação do NCA foi documentado?
—Política RVD; canal de divulgação; procedimento de coordenação; histórico de CVD
NIS2: Artigo 21 Medidas de Segurança (f–j): Eficácia, Treinamento, Criptografia, RH/Acesso, MFA
Página 4 de 4
RefRequisitos e Pontos de Verificação de AuditoriaStatusEvidências NecessáriasNotas do Auditor
Art. 21(f): Políticas e procedimentos para avaliar a eficácia das medidas de cibersegurança
21f.1Estrutura de KPIs e Métricas de Segurança Cibernética
• Os KPIs e métricas de cibersegurança foram definidos, medidos e reportados em intervalos planejados?
• As métricas abrangem: tempos de detecção, tempos de resposta, conformidade com patches, conclusão de treinamento, taxas de incidentes?
• Os KPIs são analisados em relação às metas e reportados à gestão trimestralmente?
—Estrutura de KPIs; relatórios de métricas; painel de gestão; comparação de metas
21f.2Auditorias Independentes e Testes de Penetração
• Auditorias de segurança independentes regulares dos principais controles são realizadas (pelo menos anualmente)?
• Foram realizados testes de penetração em sistemas e interfaces críticas?
• Os resultados das auditorias e testes foram acompanhados até a sua remediação, com responsabilização do proprietário?
—Relatórios de auditoria; resultados de testes de penetração; rastreador de descobertas; evidências de remediação
21f.3Monitoramento contínuo da eficácia do controle
• Existe um programa de monitoramento contínuo da eficácia dos controles de segurança?
• Verificações automatizadas de conformidade para controles críticos (por exemplo, aplicação de patches, antivírus, conformidade de configuração)?
• Os resultados do monitoramento foram integrados à gestão de riscos e reportados à gerência?
—Evidências da ferramenta de monitoramento; relatórios de conformidade; integração com o registro de riscos
21f.4Análise da eficácia da cibersegurança pela gestão
• A eficácia da cibersegurança é formalmente revista pela gestão, no mínimo, anualmente?
• Os insumos para a revisão incluem: resultados de auditoria, KPIs, incidentes, inteligência de ameaças, mudanças de risco?
• Os resultados da revisão (decisões, ações de melhoria) foram documentados e acompanhados?
—Ata da reunião de gestão; registro de ações; planos de melhoria
Art. 21(g): Práticas básicas de higiene cibernética e treinamento em segurança cibernética
21g.1Padrões Básicos de Higiene Cibernética
• Os padrões básicos de higiene cibernética estão documentados e aplicados em toda a organização?
• As normas abrangem: política de senhas/MFA, frequência de aplicação de patches, antivírus/EDR, conscientização sobre phishing, configurações seguras?
• Os padrões de higiene são aplicados de forma consistente a funcionários, contratados e dispositivos gerenciados?
—Política de higiene cibernética; documento de padrões básicos; evidências de monitoramento de conformidade
21g.2Programa de Treinamento de Conscientização de Segurança
• Treinamento obrigatório de conscientização sobre segurança para todos os funcionários no momento da integração e anualmente depois disso?
• O treinamento abrange as obrigações do NIS2, phishing, engenharia social e procedimentos de notificação de incidentes?
• A eficácia foi medida por meio de simulações, testes ou avaliações de phishing?
—Programa de treinamento; registros de conclusão; resultados da simulação de phishing; pontuações dos testes
21g.3Treinamento de pessoal técnico e de segurança
• Treinamento em cibersegurança específico para cada função, destinado a funcionários de TI, segurança e DevOps?
• Quais são os requisitos de desenvolvimento profissional contínuo/certificação para funções de segurança definidos (por exemplo, CISSP, CISM, SC-200)?
• O programa de treinamento está alinhado com o cenário atual de ameaças e os requisitos do NIS2?
—Plano de treinamento; certificações; registros de desenvolvimento profissional contínuo; currículo específico da função
21g.4Exercícios de Resposta a Incidentes
• Exercícios de simulação ou de resposta a incidentes reais são realizados no mínimo anualmente?
• Os exercícios incluem cenários de cronograma de relatórios NIS2 (obrigações de 24h / 72h)?
• Os resultados dos exercícios foram documentados e implementados nas atualizações do IRP?
—Programa de exercícios; relatórios de exercícios; revisões pós-ação; atualizações do IRP
Art. 21(h): Políticas e Procedimentos Relativos à Criptografia e à Encriptação
21h.1Criptografia e Política de Criptografia
• A política de criptografia e encriptação foi aprovada e implementada?
• A política especifica os algoritmos aprovados (AES-256, RSA-2048+, TLS 1.2+), os comprimentos das chaves e as cifras proibidas?
• A política está alinhada com as diretrizes criptográficas da ENISA e é revisada anualmente?
—Política de criptografia; padrões de algoritmos; registro de revisão anual
21h.2Criptografia em Trânsito
• O protocolo TLS 1.2+ é obrigatório para todos os serviços web, APIs e comunicações externas?
• VPN ou canais seguros são obrigatórios para todo acesso remoto?
• Protocolos obsoletos (TLS 1.0/1.1, SSL, HTTP não criptografado) desativados e monitorados?
—Varreduras de configuração TLS; política de VPN; relatórios de auditoria de protocolo
21h.3Criptografia em repouso
• Criptografia de disco completa implementada em todos os laptops, dispositivos móveis e mídias portáteis?
• Criptografia em nível de banco de dados e de arquivo para dados pessoais e comerciais sensíveis em repouso?
• A criptografia do armazenamento em nuvem foi verificada (chaves gerenciadas pelo cliente, quando aplicável)?
—Inventário de criptografia; relatórios de conformidade com FDE; configuração de criptografia em nuvem
21h.4Gerenciamento de Chaves Criptográficas
• Quais são os principais procedimentos de gestão que abrangem a geração, o armazenamento, a rotação e a destruição segura?
• HSM ou cofre de chaves seguro (por exemplo, Azure Key Vault, AWS KMS, HashiCorp Vault) usado para chaves críticas?
• O cronograma de rotação de funções foi definido e aplicado?
—Procedimento de gerenciamento de chaves; inventário de chaves; configuração de HSM/cofre; registros de rotação
Art. 21( i ): Segurança dos Recursos Humanos, Políticas de Controle de Acesso e Gestão de Ativos
21i.1Inventário de Ativos
• Inventário completo dos ativos de rede e sistemas de informação (hardware, software, dados, nuvem)?
• Registro de ativos revisado e atualizado trimestralmente; titularidade atribuída?
• Qual a classificação de criticidade dos ativos utilizada para priorizar medidas de proteção?
—Registro de ativos; resultados da varredura de descoberta; classificação de criticidade; registros de revisão
21i.2Segurança de RH e Triagem Pré-Emprego
• Triagem pré-emprego para todas as funções com acesso significativo a sistemas de informação (verificação de antecedentes, referências)?
• Os contratos de trabalho incluem obrigações de cibersegurança (uso aceitável, confidencialidade, conhecimento da NIS2)?
• O processo disciplinar por violações da política de cibersegurança foi documentado?
—Política de triagem; modelos de contrato; procedimento disciplinar; registros de RH
21i.3Política de Controle de Acesso (Privilégio Mínimo)
• Política formal de controle de acesso baseada nos princípios do menor privilégio e da necessidade de saber?
• O controle de acesso baseado em funções (RBAC) foi implementado em todos os sistemas críticos?
• Avaliações de acesso realizadas no mínimo semestralmente com resultados documentados?
—Política de controle de acesso; matriz RBAC; registros de revisão de acesso
21i.4Gerenciamento de Acesso Privilegiado (PAM)
• Contas privilegiadas inventariadas, justificadas e controladas por meio de solução PAM ou equivalente?
• Sessões privilegiadas monitoradas e gravadas para sistemas críticos?
• Contas compartilhadas eliminadas ou estritamente controladas com responsabilidade individual?
—Evidências da ferramenta PAM; registro de contas privilegiadas; logs de sessão; política de contas compartilhadas
21i.5Gestão do Ciclo de Vida da Identidade (Admissões, Transferências, Desligamentos)
• Existe um processo JML formal que assegure que o acesso aos sistemas de informação seja concedido, modificado e revogado em tempo oportuno?
• Desprovisionamento automático ou revogação manual vinculada ao SLA para funcionários que se desligam da empresa?
• Conciliação regular dos direitos de acesso com o status atual de emprego/função?
—Procedimento JML; registros de provisionamento/desprovisionamento; registros de reconciliação de acesso
Art. 21(j): Autenticação multifatorial e comunicações seguras
21j.1Autenticação Multifatorial (MFA)
• A autenticação multifator (MFA) é obrigatória para todos os acessos remotos (VPN, RDP, portais na nuvem) e para todas as contas privilegiadas?
• A autenticação multifator (MFA) foi estendida a todos os serviços e aplicativos externos com contas de usuário?
• A política de MFA está documentada com um processo de exceções que exige aceitação formal de riscos?
—Evidências de aplicação do MFA; registro de exceções; documento de política
21j.2Autenticação Contínua e Baseada em Risco
• Autenticação contínua ou baseada em risco implementada para transações sensíveis e ações privilegiadas?
• Os tempos limite de sessão são impostos e a reautenticação é acionada para operações de alto risco?
• Padrões de acesso anômalos que acionam autenticação de dois fatores?
—Política de autenticação; configuração de tempo limite de sessão; registros de autenticação baseados em risco; alertas de anomalia
21j.3Comunicações seguras de voz, vídeo e texto
• Soluções de comunicação seguras são obrigatórias para discussões comerciais sensíveis (plataformas criptografadas de ponta a ponta)?
• Política BYOD que aborda os requisitos de comunicação segura para dispositivos pessoais?
• Os funcionários receberam treinamento sobre os canais de comunicação aprovados e proibidos para dados sensíveis?
—Política de comunicações seguras; lista de ferramentas aprovadas; política de BYOD (Traga Seu Próprio Dispositivo); comprovação de treinamento
21j.4Sistemas de Comunicação de Emergência
• Sistemas de comunicação de emergência seguros disponíveis para uso durante incidentes cibernéticos?
• O canal de comunicação fora de banda foi mantido e testado (por exemplo, linhas telefônicas separadas, mensagens criptografadas)?
• O canal de comunicação de emergência está incluído nos exercícios de gestão de crises?
—Documentação do sistema de comunicações de emergência; registros de testes de canal OOB; evidências de exercícios