Provedores de nuvem, data centers, redes de distribuição de conteúdo, provedores de serviços gerenciados, marketplaces, buscadores, redes sociais e prestadores de serviços de confiança que operam na União Europeia respondem a uma fiscalização técnica própria da NIS2, definida em regulamento dedicado. Para esse público, a ENISA publicou em junho de 2025 o guia técnico de implementação do Regulamento de Execução (UE) 2024/2690, de 17 de outubro de 2024, que transforma o texto legal em orientações práticas, exemplos de comprovação e um mapeamento direto para o ISO/IEC 27001:2022. A ação prioritária para quem já mantém um SGSI certificado é baixar a tabela de mapeamento da ENISA, cruzá-la com a declaração de aplicabilidade e fechar as lacunas documentais antes da supervisão nacional: o guia é indicativo, mas o regulamento que ele explica é vinculante.
O que o guia resolve
A maior parte dos setores cobertos pela NIS2 é supervisionada por autoridades nacionais, cada qual com seu entendimento sobre o que configura uma medida adequada. Para os subsectores digitais de natureza transfronteiriça, porém, os requisitos técnicos e metodológicos foram unificados em nível europeu pelo Regulamento de Execução (UE) 2024/2690. O efeito prático é que nuvem, data center, CDN, MSP e MSSP, marketplaces e serviços de confiança não negociam interpretações locais diferentes: existe um anexo comum, e a fiscalização vai comparar o que a empresa faz contra ele.
O documento da ENISA foi escrito junto com a Comissão Europeia e o Grupo de Cooperação NIS, depois de consulta pública. Ele não cria obrigação nova, não substitui orientações nacionais e é expressamente não vinculante; os Estados-membros mantêm liberdade para definir a abordagem de supervisão. O valor está em outro ponto: cada requisito do anexo vem acompanhado de orientação, exemplos de comprovação e dicas, o que dá à equipe defensiva a melhor prévia disponível do que será cobrado em uma auditoria.
Como o mapeamento funciona
O anexo do regulamento se organiza em 13 títulos de requisitos — de política de segurança e gestão de risco até tratamento de incidentes, continuidade, cadeia de suprimentos, criptografia, controle de acesso e segurança física. O guia reproduz o texto legal de cada requisito e, na sequência, traz o conselho de implementação, os exemplos de comprovação e as dicas. Cada requisito é mapeado para o ISO/IEC 27001:2022 e outros referenciais internacionais, e a tabela completa de correspondências é distribuída pela própria ENISA em formato Excel, junto com a publicação.
Dois avisos da agência importam na hora de usar o material. O mapeamento não é declaração de equivalência: ele apenas aponta requisitos relacionados, sem garantir que a norma cubra integralmente o regulamento. E a mesma comprovação pode servir a vários requisitos ao mesmo tempo — a agência cita o organograma, que demonstra tanto papéis e responsabilidades quanto segregação de funções. Em termos de esforço, isso muda a conta: o trabalho não é produzir um dossiê novo, é reorganizar o que o SGSI já gera.
Políticas temáticas e aprovação
A leitura do guia deixa claro onde a maioria dos SGSI tropeça primeiro: política. O regulamento exige políticas temáticas documentadas — gestão de risco, tratamento de incidentes, segurança da cadeia de suprimentos, testes de segurança, avaliação de eficácia das medidas, criptografia, controle de acesso, gestão de contas privilegiadas, tratamento de informações e ativos e mídias removíveis. Documentar essas políticas é obrigatório; o formato fica a critério da entidade, que pode consolidar tudo em um documento ou manter arquivos separados.
A política corporativa de segurança de rede e sistemas de informação precisa ser aprovada pelos órgãos de administração, com data de aprovação registrada, indicadores de acompanhamento da maturidade e revisão pelo menos anual — ou quando incidentes significativos ou mudanças relevantes ocorrerem. Na parte de gestão de risco, o guia recomenda metodologia estruturada, plano de tratamento com prazo e responsável, e aceite formal de riscos residuais pela direção, um ponto que conversa com a prática de quantificar o risco além do mapa de calor.
Onde o ISO 27001 não basta
Certificação no ISO 27001 não encerra a conta. As lacunas mais comuns ficam em três pontos: a trilha de aprovação da direção com data, os indicadores de maturidade exigidos pela política corporativa e o diretório de fornecedores com requisitos contratuais de segurança. A segurança da cadeia de suprimentos ganhou capítulo próprio, com política dedicada e catálogo de fornecedores e prestadores críticos — critérios que se somam aos modelos de avaliação de fornecedores críticos já discutidos aqui. O guia também lembra que cada entidade deve confirmar sob qual jurisdição nacional cai antes de definir o pacote final de comprovação.
Do SGSI ao dossiê da NIS2
| Bloco do regulamento | O que o SGSI já costuma ter | Comprovação a apresentar |
|---|---|---|
| Política de segurança de rede e TI | Política do SGSI | Versão aprovada pela direção, com data e indicadores de maturidade |
| Gestão de risco | Avaliação e plano de tratamento | Resultados e aceite de risco residual assinados pela direção |
| Tratamento de incidentes | Procedimento de resposta | Política documentada, classificação de eventos e revisões pós-incidente |
| Continuidade e gestão de crise | BCP e DRP | Testes registrados e integração com a gestão de crise |
| Segurança da cadeia de suprimentos | Cláusulas contratuais | Política dedicada e diretório de fornecedores |
| Eficácia das medidas | Indicadores de segurança | Política de avaliação e resultados de medição |
Roteiro em quatro semanas
- Semana 1 (P1): baixar a tabela de mapeamento da ENISA e cruzar cada requisito com a declaração de aplicabilidade do SGSI, marcando verde, amarelo e vermelho por bloco.
- Semana 2 (P1): tratar os vermelhos de política: consolidar as políticas temáticas obrigatórias com data de aprovação da direção e registro da revisão anual.
- Semana 3 (P2): montar a pasta de comprovação por requisito, reutilizando registros existentes — auditorias internas, testes de continuidade, contratos com fornecedores, registros de aceite de risco.
- Semana 4 (P2): agendar o calendário anual de revisão da política, o aceite formal de riscos residuais e o responsável pela relação com a autoridade nacional competente.
Simplificação no horizonte
A diretiva alcança 18 setores críticos e, em 20 de janeiro de 2026, a Comissão Europeia propôs emendas pontuais de simplificação que devem aliviar o compliance de 28,700 empresas, incluindo 6,200 micro e pequenas. A proposta em tramitação não retira as medidas de gestão de risco nem o regulamento técnico dos subsectores digitais; a leitura correta é de ajuste de escopo e clareza legal, não de moratório. Quem suspendeu o programa de adequação à espera da simplificação está acumulando passivo: o mapeamento publicado continua sendo o caminho mais curto entre o SGSI existente e a resposta que o fiscalizador quer ver.