NIS2 Explicado: Requisitos, Prazos e Casos de Uso do LogTotal na Europa

O que é NIS2?

O NIS2 é a Diretiva (UE) 2022/2555, a lei básica de cibersegurança da UE para organizações que mantêm redes de energia, sistemas de água, hospitais, cadeias de logística, abastecimento de alimentos e infraestrutura digital funcionando. Ele substituiu a Diretiva NIS original (UE) 2016/1148 e transformou um regime aplicado setorialmente em um único quadro com obrigações comuns, cronogramas de relatórios comuns e verdadeiros poderes de execução.

Então, o que é NIS2 em termos práticos para uma equipe de segurança? Três coisas. Primeiro, define quem está no escopo através de limiares de tamanho e dois anexos setoriais, dividindo as organizações cobertas em entidades essenciais e importantes. Segundo, prescreve um conjunto mínimo de controles de gerenciamento de riscos no Artigo 21, desde o manuseio de incidentes e registro até a segurança da cadeia de suprimentos e criptografia. Terceiro, impõe um processo de notificação de incidentes em etapas no Artigo 23, com o primeiro sinal devido ao CSIRT nacional ou autoridade competente dentro de 24 horas após tomar conhecimento de um incidente significativo.

Como o NIS2 é uma diretiva e não um regulamento, cada Estado-Membro escreve sua própria lei nacional. As obrigações principais são compartilhadas, mas os portais de registro, autoridades supervisoras e formulários de relatórios diferem de Roma para Varsóvia, e é exatamente por isso que uma visão a nível de país é importante.

Experimente o LogTotal, gratuitamente

Data de Lançamento do NIS2 e o Caminho para a Conformidade

A diretiva foi publicada no Jornal Oficial em 27 de dezembro de 2022 e entrou em vigor em 16 de janeiro de 2023. Os Estados-Membros tiveram até 17 de outubro de 2024 para transpor, com medidas nacionais aplicáveis a partir de 18 de outubro de 2024. Poucos conseguiram: Itália e Bélgica estavam entre os poucos que tinham leis em vigor a tempo.

A Comissão respondeu com cartas de aviso formal em novembro de 2024, pareceres fundamentados em maio de 2025 e, em 8 de julho de 2026, remessas ao Tribunal de Justiça da UE para os retardatários restantes. De acordo com o rastreador de transposição nisd2.eu, em 16 de outubro de 2026 uma lei nacional está em vigor em 24 dos 27 Estados-Membros. França, Irlanda e Espanha ainda estão sem uma.

Para a conformidade com o NIS2, a conclusão é que o relógio é nacional, não europeu. As emendas do BSIG da Alemanha se aplicaram desde 6 de dezembro de 2025, a lei KSC emendada da Polônia desde 3 de abril de 2026, a lei de Cibersegurança dos Países Baixos desde 15 de agosto de 2026 e a NISG 2026 da Áustria desde 1 de outubro de 2026. Cada um traz sua própria janela de registro, então um operador multinacional pode estar em conformidade em Milão enquanto já está atrasado em Gdańsk.

O que a Diretiva NIS2 Requer

A Diretiva NIS2 coloca obrigações em três grupos: governança, controles técnicos e relatórios.

A governança está no Artigo 20. Os órgãos de gestão devem aprovar as medidas de gestão de risco de cibersegurança, supervisionar sua implementação e completar treinamento regular. A responsabilidade não para mais no CISO.

Os controles técnicos estão no Artigo 21(2), que lista dez medidas mínimas: análise de riscos e políticas de segurança do sistema de informação; manejo de incidentes; continuidade de negócios, backup e gestão de crise; segurança da cadeia de suprimentos; aquisição, desenvolvimento e manutenção seguros, incluindo manejo de vulnerabilidades; avaliação da eficácia dos controles; higiene cibernética e treinamento; criptografia; segurança de RH, controle de acesso e gestão de ativos; e MFA além de comunicações seguras. Para provedores de infraestrutura digital e serviço de TIC, o Regulamento de Execução (UE) 2024/2690 detalha isso, incluindo requisitos explícitos de monitoramento e registro.

Os relatórios estão no Artigo 23, e é aqui que as equipes SOC sentem a pressão:

• 24 horas: aviso prévio, incluindo se o incidente é suspeito de ser malicioso ou ter impacto transfronteiriço
• 72 horas: notificação de incidente com uma avaliação inicial de severidade e impacto e indicadores de comprometimento disponíveis
• Um mês: relatório final com causa raiz, mitigação e impacto transfronteiriço

Um aviso prévio de 24 horas só é credível se a equipe realmente conseguir ler seus registros dentro de horas, e não de dias.

Por que a UE Substituiu o NIS1 pelo NIS2

O NIS1 falhou na consistência. Cada Estado-Membro decidiu por si próprio quais empresas contavam como operadoras de serviços essenciais, portanto, dois hospitais do mesmo tamanho em países vizinhos poderiam enfrentar obrigações completamente diferentes. As penalidades eram baixas e raramente aplicadas, e os limites de relatórios de incidentes variavam tanto que a consciência situacional transfronteiriça mal existia.

O panorama de ameaças avançava mais rápido que a lei. Entre a proposta da Comissão de dezembro de 2020 e o texto final, a Europa viu ransomware derrubar TI hospitalar, as compromissos de cadeia de suprimentos da SolarWinds e Kaseya atingir milhares de clientes a jusante, e o ataque de fevereiro de 2022 à rede KA-SAT da Viasat cortar o monitoramento remoto para cerca de 5.800 turbinas eólicas Enercon na Alemanha. Esse último caso deixou um ponto muito claro: um ataque a um provedor de serviços de TI pode produzir consequências físicas, em nível OT, em um setor diferente e em um país diferente.

O NIS2 responde com um escopo mais amplo, controles mínimos harmonizados, deveres explícitos na cadeia de suprimentos, responsabilidade pessoal para a gestão e um relógio comum de incidentes. Também formaliza a cooperação através do EU-CyCLONe e da rede CSIRTs, de modo que um incidente significativo em Lyon não é mais um problema puramente francês.

Multas do NIS2 e Responsabilidade da Gestão

O Artigo 34 define os tetos que as leis nacionais devem atingir no mínimo:

A referência de faturamento é o empreendimento inteiro, não a subsidiária local, e é por isso que os CFOs a nível de grupo agora leem os briefings do NIS2.

Dinheiro é apenas parte da exposição. Para entidades essenciais, o Artigo 32 permite que as autoridades suspendam certificações ou autorizações e barrem temporariamente um CEO ou representante legal de funções gerenciais até que as deficiências sejam corrigidas. As autoridades também podem ordenar que uma entidade divulgue publicamente sua não conformidade.

Na prática, os reguladores procuram evidências. Uma organização que pode mostrar quando detectou um incidente, quais logs examinou e como chegou a suas conclusões de 24 horas e 72 horas está em uma posição muito mais forte do que uma que reconstrói a linha do tempo após o fato. Análises de log documentadas e repetíveis são o seguro mais barato contra o limite superior dessas penalidades.

NIS2 vs. DORA: Qual Apply?

Um resumo de uma linha da diretiva NIS2: regras de cibersegurança horizontal para 18 setores críticos, transpostas nacionalmente. DORA, a Lei de Resiliência Operacional Digital (Regulamento (UE) 2022/2554), é o oposto em ambos os casos. É setorial, abrangendo bancos, seguradoras, empresas de investimento, instituições de pagamento, prestadores de serviços de criptoativos e seus provedores críticos de TIC terceirizados, e como regulamento aplicou diretamente em todos os Estados-Membros desde 17 de janeiro de 2025.

Os dois se conectam através do Artigo 4 do NIS2. Onde um ato setorial da UE impõe requisitos pelo menos equivalentes ao NIS2, esse ato prevalece. DORA é essa lex specialis para entidades financeiras, então um banco segue as regras de risco de TIC, teste e relatórios de DORA em vez das versões do NIS2.

A sobreposição importa para os fornecedores. Um SOC gerenciado ou provedor de nuvem pode ser uma entidade importante sob o NIS2 e, ao mesmo tempo, um provedor de TIC contratual sob o DORA, enfrentando dois conjuntos de solicitações de evidência de log.

NIS2 vs. GDPR: Continuidade de Serviço Encontra Proteção de Dados

O GDPR protege os dados pessoais das pessoas. O NIS2 protege a continuidade dos serviços dos quais a sociedade depende. A diferença aparece no que desencadeia um relatório: sob o GDPR, é uma violação de dados pessoais que provavelmente criará risco para os indivíduos, relatada à autoridade de proteção de dados dentro de 72 horas. Sob o NIS2, é um incidente significativo que afeta a entrega do serviço, relatado ao CSIRT ou à autoridade competente a partir de 24 horas, não importando se algum dado pessoal foi tocado.

Um ataque de ransomware a um hospital geralmente desencadeia ambos. O Artigo 35 do NIS2 exige que a autoridade de cibersegurança informe a autoridade de proteção de dados quando um incidente pode envolver uma violação de dados pessoais, e impede uma multa dupla pela mesma conduta quando uma penalidade do GDPR já foi imposta. O teto do GDPR permanece o mais alto: €20 milhões ou 4% do faturamento mundial.

O ponto de atrito para as equipes SOC são os próprios logs. A telemetria de segurança está cheia de dados pessoais: nomes de usuário, endereços IP, cabeçalhos de e-mail, nomes de host vinculados a funcionários identificados. Enviar logs brutos para um analista externo, um MSSP ou um serviço de IA para cumprir um prazo do NIS2 pode abrir uma questão do GDPR sobre minimização de dados e transferências. Pseudonimizar identificadores antes que os logs saiam da organização, enquanto mantém a chave internamente, é como as equipes satisfazem ambos os regimes ao mesmo tempo.

Quais Organizações o NIS2 Afeta

O NIS2 usa uma regra de limite de tamanho: organizações médias e grandes, ou seja, 50 ou mais funcionários ou mais de €10 milhões de faturamento anual, operando em um dos 18 setores.

• Anexo I, setores de alta criticidade (11): energia, transporte, bancário, infraestrutura do mercado financeiro, saúde, água potável, esgoto, infraestrutura digital, gerenciamento de serviços de TIC B2B, administração pública e espaço.
• Anexo II, outros setores críticos (7): serviços postais e de correio, gestão de resíduos, produtos químicos, produção e distribuição de alimentos, fabricação (dispositivos médicos, eletrônicos, equipamentos elétricos, máquinas, veículos motorizados e outros equipamentos de transporte), provedores digitais e pesquisa.

Grandes entidades no Anexo I, com 250 ou mais funcionários ou mais de €50 milhões de faturamento, são tipicamente essenciais. A maioria dos demais é importante. Alguns provedores são cobertos independentemente do tamanho, incluindo provedores de serviços de DNS, registradores de TLD, provedores de serviços de confiança qualificados e redes de comunicações eletrônicas públicas, e os Estados-Membros podem designar pequenas entidades que são o único provedor de um serviço crítico.

O alcance prático é ainda maior. O Artigo 21 torna a segurança da cadeia de suprimentos uma obrigação, então as entidades abrangidas impõem requisitos de segurança contratuais aos fornecedores. Um integrador de firmware de 30 pessoas que atende uma montadora alemã, ou um contratante de manutenção de refrigeração que serve uma cadeia de supermercados, sentirão o NIS2 através de questionários de auditoria muito antes de qualquer regulador ligar.

LogTotal e Logs de OT: O Motor vs. o Ecossistema

LogTotal, que a SOC Prime moveu de visualização pública para lançamento geral em 15 de outubro de 2026, é construído para a versão do problema de logs no tempo de incidente. Você seleciona um conjunto de logs, o open-source @socprime/logtotal-sanitizer substitui credenciais, endereços IP, nomes de host e nomes de usuário por tokens HMAC estáveis dentro do navegador, e somente os eventos tokenizados são enviados. Ele processa até 1,7 milhão de eventos em menos de um minuto em hardware comum, não armazena nada após a análise, e a organização mantém a chave para mapear tokens internamente.

O próprio motor é agnóstico em relação ao formato. Ele detecta automaticamente EVTX, CEF, JSON/NDJSON e syslog, portanto, qualquer coisa que possa ser expressa como texto pode ser investigada: syslogs de PC industrial, eventos de historiador SCADA e HMI, logs de estações de trabalho de engenharia ou tráfego Modbus e BACnet uma vez que tenha sido decodificado em registros de texto.

Mapeamento de País: Casos de Uso do NIS2 e LogTotal em 10 Mercados

O NIS2 é uma lei da UE, mas sua influência se estende a fornecedores, vizinhos e países candidatos que servem o mercado europeu. O fio condutor em todos os dez mercados abaixo é um relógio de relatório medido em horas, o que torna a triagem de log rápida e segura para a privacidade uma necessidade prática em vez de apenas desejável. O status reflete outubro de 2026.