NIS2 e DORA: o que muda para empresas brasileiras que atendem a Europa

Por que regras europeias chegam a uma empresa brasileira

Quando se fala em NIS2 e DORA, muitos gestores brasileiros pensam que o assunto é só de empresas sediadas na União Europeia. Na maior parte dos casos, a obrigação legal direta é mesmo das organizações europeias. O que costuma passar despercebido é que as duas normas exigem que essas organizações controlem os riscos dos seus fornecedores. É aí que a PME brasileira entra na conversa.

Alguns exemplos: uma software house em Campinas que mantém o sistema de uma corretora em Lisboa, um escritório de desenvolvimento que atende uma fintech na Espanha, uma empresa de BPO que processa dados de clientes alemães ou um provedor de serviços gerenciados de TI com contratos em Portugal. Todas fazem parte da cadeia de fornecimento de empresas reguladas. Para continuar nessa cadeia, precisam mostrar que seguem práticas de segurança compatíveis com as que o cliente é obrigado a cumprir.

Isso já está acontecendo. Nas renovações de contrato e nas novas concorrências aparecem questionários de segurança mais longos, cláusulas contratuais novas, pedidos de evidências e auditorias. Quem se prepara antes ganha um diferencial comercial. Quem espera corre o risco de perder o contrato na próxima revisão.

NIS2: o que é e quem ela alcança

A NIS2 é a Diretiva (UE) 2022/2555. Ela substituiu a primeira diretiva europeia de segurança de redes e sistemas de informação, de 2016, e entrou em vigor em janeiro de 2023. Os Estados-membros tinham até 17 de outubro de 2024 para incorporá-la às leis nacionais, e cada país avançou num ritmo diferente. A diretiva ampliou bastante os setores cobertos. Além de energia, transporte, saúde, bancos e infraestrutura digital, agora entram a gestão de serviços de TIC entre empresas (provedores de serviços gerenciados e de segurança gerenciada), a fabricação de diversos produtos, alimentos, serviços postais, gestão de resíduos, provedores digitais e administração pública, entre outros.

As organizações cobertas são classificadas como entidades essenciais ou importantes, em regra a partir do porte médio: 50 ou mais funcionários ou faturamento anual acima de 10 milhões de euros. O artigo 21 da diretiva lista as medidas mínimas de gestão de risco que essas entidades devem adotar:

• políticas de análise de risco e de segurança dos sistemas de informação;
• tratamento de incidentes;
• continuidade de negócios, gestão de backups, recuperação de desastres e gestão de crises;
• segurança da cadeia de fornecimento, incluindo a relação com fornecedores diretos e prestadores de serviço;
• segurança na aquisição, no desenvolvimento e na manutenção de sistemas, incluindo gestão e divulgação de vulnerabilidades;
• avaliação periódica da eficácia das medidas adotadas;
• higiene cibernética básica e treinamento em segurança;
• políticas de criptografia;
• segurança de recursos humanos, controle de acesso e gestão de ativos;
• autenticação multifator e comunicações seguras.

Dois pontos chamam atenção. O primeiro são os prazos para notificar incidentes significativos: alerta inicial em até 24 horas, notificação completa em até 72 horas e relatório final em até um mês. O segundo é a responsabilidade da alta direção, que precisa aprovar as medidas, acompanhar a implementação e passar por treinamento. As multas podem chegar a 10 milhões de euros ou 2% do faturamento mundial anual para entidades essenciais. Há também um ponto que afeta diretamente empresas de fora do bloco: provedores de nuvem, data centers e serviços gerenciados de TI e de segurança que atendem clientes na União Europeia sem ter estabelecimento local devem nomear um representante em um Estado-membro.

DORA: resiliência digital no setor financeiro e seus fornecedores

O DORA (Digital Operational Resilience Act) é o Regulamento (UE) 2022/2554 e vale desde 17 de janeiro de 2025. Diferente da NIS2, é um regulamento: vale igual em todos os países do bloco, sem precisar de lei nacional. O foco é o setor financeiro, ou seja, bancos, seguradoras, gestoras, instituições de pagamento, empresas de investimento e prestadores de serviços de criptoativos. O objetivo é que essas instituições consigam resistir a falhas e ataques de tecnologia, responder a eles e se recuperar.

O regulamento tem cinco frentes:

• gestão de risco de TIC;
• gestão e reporte de incidentes;
• testes de resiliência operacional digital, incluindo testes de intrusão baseados em ameaças para as instituições maiores;
• gestão de risco de terceiros de TIC;
• compartilhamento de informações sobre ameaças.

A frente de terceiros é a que mais afeta fornecedores brasileiros. Cada instituição financeira precisa manter um registro com todos os seus contratos de serviços de TIC, avaliar a concentração de risco e ter uma estratégia de saída para os serviços que sustentam funções críticas.

O artigo 30 do DORA define as cláusulas que os contratos com fornecedores de TIC devem ter. Entre elas estão a descrição clara dos serviços, os locais onde os dados são processados e armazenados, os níveis de serviço, a obrigação de apoiar o cliente em incidentes, a cooperação com as autoridades supervisoras e os direitos de rescisão. Quando o serviço sustenta uma função crítica ou importante, a lista cresce. Passam a valer metas de desempenho mensuráveis, planos de contingência testados, participação nos testes de resiliência do cliente e direitos irrestritos de acesso, inspeção e auditoria. Também é preciso ter uma estratégia de saída com período de transição.

Na prática, o DORA torna o fornecedor de tecnologia parte do perímetro regulatório da instituição financeira. Se o contrato não prevê auditoria, plano de continuidade e apoio em incidentes, quem fica irregular perante o supervisor é o cliente europeu.

O que o cliente europeu vai pedir ao seu fornecedor

Para a PME brasileira, a NIS2 e o DORA raramente chegam como notificação de uma autoridade europeia. Chegam como um e-mail do setor de compras ou de segurança do cliente, com um questionário anexado e um prazo. Saber de antemão o que costuma ser pedido ajuda a responder de forma consistente, sem improviso.

As exigências mais comuns são:

• Política de segurança da informação documentada, aprovada pela direção e revisada periodicamente.
• Inventário de ativos e controle de acesso, com privilégio mínimo, revisão periódica de acessos e autenticação multifator em todos os sistemas que tocam dados do cliente.
• Backup e continuidade: cópias com retenção definida, uma cópia isolada ou imutável, testes de restauração registrados e objetivos de recuperação (RTO e RPO) declarados.
• Gestão de vulnerabilidades e atualizações, com prazos de correção e evidências de varredura.
• Procedimento de resposta a incidentes compatível com os prazos do cliente. Muitas vezes o contrato exige aviso em poucas horas. É assim que o cliente consegue cumprir os próprios prazos: 24 horas na NIS2, ou 4 horas depois de classificar o incidente como grave no DORA.
• Localização e proteção dos dados, incluindo criptografia em trânsito e em repouso e conformidade com o GDPR e a LGPD.
• Lista de subcontratados que participam da entrega do serviço, como provedores de nuvem e de datacenter.
• Treinamento dos colaboradores e registros das ações de conscientização em segurança.
• Direito de auditoria e disposição para apresentar relatórios, certificações (como a ISO/IEC 27001) ou resultados de testes de intrusão.

O fornecedor não precisa copiar toda a estrutura de um banco europeu. As duas normas cobram em proporção ao risco: quem sustenta uma função crítica é cobrado com mais rigor do que quem presta um serviço periférico. O que não se aceita mais é a falta de controles e de evidências.

Um roteiro prático de adequação para PMEs

Boa parte do que a NIS2 e o DORA pedem já é prática de TI que a empresa brasileira também precisa ter para cumprir a LGPD e se proteger de ransomware. Quem atende instituições financeiras no Brasil já conhece exigências parecidas na Resolução CMN nº 4.893/2021, que trata de política de segurança cibernética e da contratação de serviços de processamento, armazenamento e nuvem. O trabalho maior costuma ser organizar, documentar e comprovar. Um roteiro realista para uma PME:

1. Mapeie a exposição. Liste os clientes europeus, o setor de cada um e o serviço que você presta. Identifique quais contratos são do setor financeiro (DORA) ou de setores cobertos pela NIS2, e quais sustentam funções críticas do cliente.
2. Faça um diagnóstico de lacunas. Compare seus controles atuais com o artigo 21 da NIS2 e com as exigências contratuais do DORA. Usar um modelo reconhecido, como a ISO/IEC 27001 ou os CIS Controls, ajuda a organizar a análise.
3. Comece por identidade e acesso. Autenticação multifator obrigatória, contas administrativas separadas, revisão periódica de permissões e bloqueio imediato de ex-colaboradores resolvem boa parte dos riscos.
4. Reforce backup e continuidade. Adote a regra 3-2-1 com uma cópia imutável, defina RTO e RPO para cada sistema e registre os testes de restauração. Sem teste documentado, o backup não serve como evidência.
5. Organize a resposta a incidentes. Defina quem é acionado, como o incidente é classificado e em quanto tempo o cliente será avisado. Monitorar continuamente servidores e estações é o que torna esses prazos viáveis.
6. Revise contratos e subcontratados. Confira se os seus próprios fornecedores (nuvem, datacenter, software) dão as garantias que você vai precisar repassar ao cliente.
7. Documente e guarde as evidências. Políticas, registros de treinamento, relatórios de varredura e registros de testes formam o dossiê que responde a questionários e auditorias.

As duas normas pedem interpretação jurídica, principalmente para saber se a empresa se enquadra e como ajustar as cláusulas contratuais. Por isso, vale combinar o trabalho técnico com a orientação de um advogado com experiência em regulação europeia ou proteção de dados.

Como a Duk apoia empresas que atendem clientes europeus

A Duk Informática & Cloud é parceira de TI de empresas brasileiras há mais de 18 anos e atende mais de 550 clientes. Como Microsoft Gold Partner, implanta controles de identidade e segurança no Microsoft 365 e no Azure, como autenticação multifator, acesso condicional, criptografia e gestão de dispositivos. Esses controles respondem diretamente a vários itens cobrados pela NIS2 e pelo DORA.

No dia a dia, a Duk oferece suporte de TI com SLA, monitoramento contínuo, gestão de atualizações e vulnerabilidades, backup gerenciado com testes de restauração e hospedagem em data center próprio em Alphaville. Esses serviços geram as evidências que os clientes europeus pedem, como relatórios de backup, histórico de incidentes, inventário de ativos e registros de acesso, sem que a PME precise montar uma equipe interna de segurança.

Se a sua empresa recebeu um questionário de segurança de um cliente europeu ou quer se preparar antes da próxima renovação de contrato, fale com a equipe da Duk. Fazemos o diagnóstico do ambiente, definimos as prioridades e acompanhamos a implementação até que sua empresa tenha os controles e a documentação para responder com segurança.