Em resumo: a diretiva europeia NIS2 obriga muito mais empresas do que antes a medidas de gestão de riscos e à notificação de incidentes de segurança significativos. Na Alemanha, é transposta pela lei alemã de transposição da NIS2 e de reforço da cibersegurança (NIS2UmsuCG, lei alemã); a autoridade competente é o BSI (Gabinete Federal Alemão para a Segurança da Informação). Para os servidores web, isto significa sobretudo: atualizações, gestão de vulnerabilidades e tratamento de incidentes têm de estar organizados e ser comprováveis. Esta página é informação geral, não aconselhamento jurídico.
Não é aconselhamento jurídico: se a sua empresa está abrangida pela NIS2 e que obrigações se aplicam em concreto, esclareça-o com base nas indicações do BSI e com aconselhamento jurídico. Não indicamos, de propósito, limiares nem prazos que dependam do seu enquadramento.
O que é a NIS2
A NIS2 é a segunda diretiva da UE sobre segurança das redes e da informação. Alarga de forma considerável o círculo de empresas obrigadas em relação à regulamentação anterior e distingue entre entidades essenciais e importantes. Que setores e classes de dimensão estão abrangidos é determinado pela lei.
Na Alemanha, a NIS2UmsuCG transpõe a diretiva e reformula para isso, entre outras, a lei do BSI (BSI-Gesetz, lei alemã). O BSI é o interlocutor para registo, notificações e supervisão e disponibiliza no seu site informações e apoios para o enquadramento. Encontrará aí indicações fiáveis e atuais sobre prazos e procedimentos, e não em resumos gerais.
Obrigações NIS2 das empresas num relance
Para as empresas abrangidas, as obrigações podem agrupar-se, em traços gerais, em três áreas:
Gestão de riscos. As empresas têm de tomar medidas técnicas e organizativas adequadas e proporcionadas. Isso inclui tipicamente conceitos para análise de riscos e segurança da informação, tratamento de incidentes de segurança, manutenção da atividade com cópias de segurança e gestão de crises, segurança da cadeia de abastecimento, segurança na aquisição, desenvolvimento e manutenção, incluindo o tratamento de vulnerabilidades, controlo de acessos e criptografia.
Notificações. Os incidentes de segurança significativos têm de ser notificados ao BSI. A diretiva prevê para isso um procedimento por fases, desde uma notificação inicial precoce até um relatório final. Os prazos e vias de notificação exatos para a Alemanha constam das indicações do BSI.
Responsabilidade da gestão. A gerência tem de aprovar as medidas, supervisionar a sua aplicação e receber formação em matéria de cibersegurança. Mais sobre isto em Responsabilidade da gerência.
O que isto significa para os servidores web
Os servidores web são muitas vezes o sistema mais exposto de uma empresa. O PHP2Shell mostra com que rapidez uma vulnerabilidade num componente de base pode afetar todas as aplicações que nele correm. As duas vulnerabilidades CVE-2026-109618 e CVE-2026-109619 permitem a execução de código sem autenticação; o BSI declarou o nível de alerta 3 (laranja) e recomendou uma atualização imediata.
Para uma empresa sujeita à NIS2, daqui resultam perguntas práticas: sabemos que servidores usam PHP e em que versão? Quem acompanha os avisos de segurança e decide sobre atualizações de emergência? Conseguimos detetar um ataque e quem avalia se um incidente é significativo e, portanto, de notificação obrigatória? Está definido o que assumem o fornecedor de alojamento e os prestadores de serviços?
Um patch não remove software malicioso introduzido antes e não prova que não aconteceu nada. Também isso faz parte da avaliação do incidente.
Medidas concretas para a infraestrutura web
Os pontos seguintes não são uma lista exaustiva, mas cobrem as lacunas mais frequentes:
| Medida | Relação |
|---|---|
| Inventário de todos os servidores web, versões PHP e aplicações | Análise de riscos |
| Procedimento fixo para atualizações de segurança, incluindo reinício e comprovativo | Gestão de vulnerabilidades |
| Monitorização e conservação de registos | Tratamento de incidentes |
| Cópias de segurança testadas e plano de retoma | Continuidade da atividade |
| Repartição de tarefas com o fornecedor de alojamento e as agências por escrito | Cadeia de abastecimento |
| Autenticação multifator para acessos de administração | Controlo de acessos |
| Vias de notificação e responsabilidades preparadas | Deveres de notificação |
Como enquadramento metodológico serve a proteção de base das TI (IT-Grundschutz) do BSI. Um plano de emergência de TI para servidores web liga a tecnologia, as responsabilidades e as vias de notificação.
Pensar em conjunto a NIS2 e a proteção de dados
Um ataque a um servidor web pode ser ao mesmo tempo um incidente NIS2 e uma violação de dados. Nesse caso correm dois procedimentos em paralelo, com autoridades e requisitos diferentes. A notificação à autoridade de proteção de dados nos termos do Art. 33 do RGPD está descrita em Dever de notificação segundo o RGPD: 72 horas. Planeie ambas as vias com antecedência, para que, no caso concreto, ninguém tenha de improvisar.
Outro ponto diz respeito aos prestadores de serviços. Muitas empresas deixam os sites a cargo de agências e os servidores a cargo de fornecedores de alojamento. O dever de ter em conta os riscos da cadeia de abastecimento significa, na prática: regular contratualmente quem instala as atualizações de segurança, com que rapidez as vulnerabilidades críticas são tratadas, como é informado sobre incidentes e que comprovativos recebe. A situação em torno do PHP2Shell é uma boa pedra de toque para ver se estas regras já existem e se funcionaram no caso concreto. Se faltar uma resposta, isso é um ponto para a sua gestão de riscos.
Como ajuda concretamente a PHP SOS?
- Levantamos a sua infraestrutura web e avaliamos riscos e lacunas de uma forma que pode usar na sua gestão de riscos.
- Configuramos um procedimento comprovável para atualizações de segurança e, se desejar, assumimo-lo através de um contrato de manutenção de segurança.
- Com monitorização de segurança e conservação de registos, criamos a base para detetar e avaliar incidentes.
- No incidente, fornecemos os factos técnicos para a sua notificação ao BSI; o enquadramento jurídico fica consigo e com o seu aconselhamento jurídico.
Perguntas frequentes
A minha empresa está abrangida pela NIS2?
Depende, entre outros fatores, do setor e da dimensão da empresa. Os critérios exatos resultam da lei alemã de transposição. O BSI disponibiliza no seu site informações sobre a abrangência; em caso de dúvida, esclareça a questão com aconselhamento jurídico.
O que significa a NIS2 para o site de uma empresa?
Servidores web, portais de clientes e lojas pertencem aos sistemas cujos riscos uma empresa abrangida tem de gerir. Isso inclui atualizações, gestão de vulnerabilidades, controlo de acessos e a capacidade de detetar e notificar incidentes.
Que prazos de notificação se aplicam segundo a NIS2?
A diretiva prevê um procedimento de notificação por fases para incidentes de segurança significativos. Os prazos, vias e formulários vinculativos para a Alemanha constam das indicações do BSI e do texto legal. Não indicamos aqui, de propósito, prazos sem relação com a sua situação.
A NIS2 aplica-se também a fornecedores?
A NIS2 exige das entidades abrangidas que considerem também a segurança da sua cadeia de abastecimento. Por isso, muitos clientes perguntam aos seus prestadores de serviços e fornecedores pelas medidas de segurança, mesmo que estes não estejam diretamente abrangidos pela lei.