NIS2: O Artigo 17 Sai da Sombra e Muda Tudo nos Contratos com Fornecedores Cyber

Se você acha que ler Termos e Condições é tão divertido quanto limpar rejunte de azulejo com uma escova de dentes, prepare-se: o Artigo 17 da NIS2 chegou para transformar seus contratos com fornecedores de segurança cibernética em um verdadeiro teste de paciência burocrática. Mas calma, não precisa entrar em pânico. As FAQ publicadas pela Agência de Cibersegurança Nacional (ACN) jogaram luz sobre o que antes era uma zona cinzenta, e agora é hora de agir.

O que muda com o Artigo 17 da NIS2?

Featured Snippet: O Artigo 17 da NIS2 exige que as empresas formalizem acordos específicos com fornecedores de serviços cibernéticos (como SOC, MDR, pentest e threat intelligence) para compartilhar informações sensíveis, e comuniquem esses acordos às autoridades competentes. Isso impacta diretamente a gestão de contratos e a segurança da informação.

Basicamente, a diretiva quer que você pare de tratar seus fornecedores de segurança como se fossem prestadores de serviço de buffet. Agora, cada interação que envolva dados sensíveis ou acesso a sistemas críticos precisa estar devidamente documentada em um acordo formal. E não adianta só assinar um papel qualquer: o conteúdo deve especificar claramente o escopo, as responsabilidades, as medidas de segurança e as condições de compartilhamento de informações.

Quem é afetado?

Se sua empresa contrata serviços de SOC (Security Operations Center), MDR (Managed Detection and Response), testes de penetração (pentest) ou inteligência de ameaças (threat intelligence), você está no radar. Mas não se engane: a lista não é exaustiva. Qualquer fornecedor que tenha acesso a dados sensíveis ou que possa impactar a continuidade dos seus serviços deve ser incluído.

O que precisa constar no acordo?

As FAQ da ACN listam alguns elementos essenciais: descrição detalhada dos serviços, medidas de segurança da informação, procedimentos para notificação de incidentes, cláusulas de confidencialidade, e, claro, a obrigação de comunicar o acordo à autoridade competente. Parece burocrático? Sim. Mas é melhor do que explicar para o regulador por que seu fornecedor de threat intelligence vazou dados sem um contrato formal.

Impactos práticos imediatos

Se você está pensando "vou deixar para depois", saiba que o prazo já está correndo. As empresas precisam revisar todos os contratos existentes com fornecedores de serviços cibernéticos e adequá-los aos requisitos do Artigo 17. Isso inclui desde grandes corporações até PMEs que terceirizam sua segurança.

Uma dica: não tente fazer isso sozinho. Envolva seu jurídico, seu time de compliance e, claro, os fornecedores. Eles também precisam estar alinhados. Afinal, ninguém quer ser o exemplo de não conformidade que vai parar nos jornais.

Como se preparar?

Primeiro, mapeie todos os fornecedores de serviços cibernéticos que sua empresa utiliza. Depois, analise os contratos atuais e identifique lacunas em relação ao Artigo 17. Por fim, negocie as alterações necessárias e formalize os acordos. Lembre-se de documentar todo o processo e manter registros atualizados.

Para mais detalhes, consulte a diretiva NIS2 no EUR-Lex e as FAQ oficiais da ACN.

FAQ

O que é o Artigo 17 da NIS2?

É o artigo que estabelece a obrigação de as empresas formalizarem acordos com fornecedores de serviços de segurança cibernética, especificando termos de compartilhamento de informações e medidas de segurança.

Quais serviços estão incluídos?

SOC, MDR, penetration test e threat intelligence, mas também pode incluir outros fornecedores com acesso a dados sensíveis ou sistemas críticos.

Preciso comunicar o acordo às autoridades?

Sim, o acordo deve ser comunicado à autoridade competente (em Portugal, a ACN) conforme as regras da diretiva.