Sua estratégia de cibersegurança de TO inclui atualizações de software e hardware de rotina? Caso contrário, você pode estar correndo o risco de uma multa de EUR 10.000.000,00 ou 2 % do faturamento anual global1.
Por quê? Simples. Até outubro de 2024, todos os estados membros da UE devem ter aprovado a Diretiva de segurança de redes e informações revisada da UE (NIS2) em lei. E a nova diretriz especifica multas de EUR 10.000.000,00 ou 2 % do faturamento anual global para organizações que violarem suas regras. Uma dessas regras afirma claramente que as organizações que se enquadram na diretriz devem ter políticas de cibersegurança que incluam:
“…políticas de higiene cibernética que compreendem um conjunto de avaliação inicial de práticas comuns, incluindo atualizações de software e hardware…”
Mais organizações do que nunca estão cobertas pela diretriz atualizada. Isso inclui setores totalmente novos, como telecomunicações, produtos químicos, esgoto e alimentos — todos considerados “essenciais” ou “importantes” para a segurança e a vida econômica da UE. O artigo 7 da NIS2 reforça ainda mais o fato de que mais organizações do que nunca serão impactadas pela nova diretriz:
“A estratégia nacional de cibersegurança deve incluir o fortalecimento da resiliência cibernética e da avaliação inicial de higiene cibernética de pequenas e médias empresas, em particular aquelas excluídas do escopo desta diretriz…”
Conclusão? Quase toda organização que opera tecnologia operacional na UE precisa começar a pensar agora em se preparar para a NIS2 ou correr o risco de sofrer as consequências de uma violação.
Por que as atualizações de software são um risco sob a NIS2?
Organizações de tecnologia operacional (TO), sejam fabricantes ou fornecedoras de infraestrutura, geralmente têm centenas ou até milhares de dispositivos no local. Um relatório recente da McKinsey estimou que algumas instalações de energia têm até 30000 dispositivos conectados2.
Muitos desses dispositivos também podem conter componentes inteligentes e conectados, incluindo inversores de frequência, chaves industriais, controladores programáveis, PCs industriais e assim por diante. Todos esses componentes também podem ter seu próprio software e hardware.
Instalações ainda menores, incluindo aquelas com ambientes de produção relativamente pequenos, podem ter centenas de dispositivos de TO, não mapeados e não gerenciados. E se até mesmo um desses dispositivos estiver executando software desatualizado e isso levar a uma violação de dados, interrupção operacional ou outro problema significativo, isso é uma violação potencial da NIS2 e uma multa subsequente.
