Ferramentas para NIS2 sem prometer cumprimento.
A diretiva NIS2 exige que entidades essenciais e importantes gerenciem os seus riscos, envolvam a sua gestão e reportem os seus incidentes. O TechWatchAlert fornece ferramentas para a parte dessas obrigações que diz respeito a vulnerabilidades, inventário, fornecedores e incidentes, e produz as evidências solicitadas por um auditor.
O que o NIS2 requer
A Diretiva (UE) 2022/2555, conhecida como NIS2, aplica-se a entidades essenciais e importantes em dezoito setores. A ANSSI estima que cerca de 15.000 entidades estejam afetadas em França. Três artigos carregam a maior parte das obrigações.
- Artigo 20, governação. Os órgãos de gestão aprovam as medidas de gestão de riscos, fiscalizam a sua implementação e podem ser responsabilizados por infrações. Seus membros são obrigados a seguir treinamento.
- Artigo 21.º, gestão de riscos. Dez áreas de medidas, incluindo tratamento de incidentes, segurança da cadeia de abastecimento, tratamento e divulgação de vulnerabilidades, avaliação da eficácia das medidas e gestão de ativos.
- Artigo 23, notificação de incidentes significativos. Um aviso prévio no prazo de 24 horas após o conhecimento, uma notificação do incidente no prazo de 72 horas e, em seguida, um relatório final no máximo um mês após a notificação.
Para os prestadores de serviços digitais (computação em nuvem, serviços geridos e serviços geridos de segurança, centros de dados, DNS, mercados online, motores de pesquisa, redes sociais, serviços de confiança…), o Regulamento de Execução (UE) 2024/2690 detalha estas medidas ponto por ponto. Entre outras coisas, exige-lhes que obtenham informações sobre vulnerabilidades através de canais apropriados, incluindo anúncios CSIRT (ponto 6.10 do seu anexo).
Onde a França está
A transposição passa pela lei sobre a resiliência das infraestruturas críticas e o reforço da cibersegurança, conhecida como lei da “Résiliência”. O Senado o adotou em março de 2025; em 23 de setembro de 2026, ainda não foi definitivamente adotado. Em julho de 2026, a Comissão Europeia instaurou processos contra vários Estados-Membros que atrasaram a transposição da diretiva.
Sem esperar pela lei, a ANSSI publicou o seu quadro ReCyF (Référentiel Cyber France) em 17 de março de 2026: 20 objetivos de segurança, 15 para todas as entidades regulamentadas e mais 5 para entidades essenciais. Não é obrigatório por defeito, mas uma entidade que o aplique poderá contar com ele durante uma inspeção.
A nível da UE, a ENISA gere a Base de Dados Europeia de Vulnerabilidades (EUVD), prevista no artigo 12.º da diretiva, desde maio de 2025.
Para que o TechWatchAlert fornece ferramentas
Cada módulo aborda uma obrigação específica e deixa um rastro datado. Os registros nunca são reescritos: uma decisão é encerrada e outra a substitui, o que mantém o histórico legível para um auditor.
| Módulo | O que isso faz | Textos |
|---|---|---|
| Monitorização, incluindo CSIRT nacionais | Nove feeds de vulnerabilidade, incluindo avisos e alertas do CERT-FR e a base de dados EUVD da ENISA. A exploração relatada pelo KEV, CERT-FR ou EUVD conta como exploração confirmada e a priorização padrão a coloca em primeiro lugar. | Arte. 21.2.e; Regulamento 2024/2690, ponto 6.10 |
| Cadastro de riscos aceitos | O adiamento de um patch torna-se um pedido justificado: justificativa, medidas compensatórias, data de revisão. A administração aprova ou rejeita, nunca o próprio solicitante quando existe outro aprovador. Quando chega a data, o risco volta a ser analisado. | Arte. 20; Regulamento 2024/2690, ponto 6.6 |
| Prazos de remediação e escalonamento | Uma política de remediação por gravidade, reforçada quando a exploração é confirmada e ajustada à criticidade dos ativos. Cada CVE aberto recebe um prazo: um lembrete antes dele, um alerta quando for perdido e, em seguida, encaminhamento para o CISO. | Regulamento 2024/2690, pontos 6.6 e 6.10 |
| Criticidade de ativos e revisões de inventário | Cada projeto e cada componente carregam uma criticidade (vital, importante, padrão, baixa). A revisão periódica do inventário é atestada e datada, e cada importação SBOM é registrada como prova. | Arte. 21.2.i; Regulamento 2024/2690, ponto 12 |
| Cadastro de fornecedores | Alimentado pelos fornecedores da sua pilha e depois qualificado: criticidade, contato de segurança, cláusulas contratuais, localização de dados, avaliações periódicas. Para cada fornecedor: CVEs aberto, CVEs explorado, datas de fim de vida. | Arte. 21.2.d e 21.3; Regulamento 2024/2690, ponto 5 |
| Incidentes | Registro de incidentes, qualificação, prazos computados (24 horas e 72 horas após o conhecimento, um mês após a notificação), lembretes, modelos de relatórios pré-preenchidos para copiar e registro de data e hora. | Arte. 23 |
| Relatório para gestão | Indicadores por obrigação e relatório PDF para gestão: resumo, mapeamento aos textos, anexos cadastrais. | Arte. 20 e 21.2.f |
As funções são atribuídas dentro da organização: gerenciamento, CISO, contato de incidentes. Por padrão, a gestão cabe aos proprietários da organização, a função do CISO à gestão e o contato do incidente ao CISO.
O que o TechWatchAlert não faz
- Sem certificação. Nenhuma ferramenta é suficiente para alinhar uma organização com o NIS2. TechWatchAlert produz evidências; sua organização e, quando relevante, a ANSSI, tire as conclusões.
- Sem relatórios automáticos. A ferramenta elabora o relatório do incidente e mantém um registro do mesmo; é você quem o submete à ANSSI, através de seus canais.
- Sem aconselhamento jurídico. Se a sua organização é uma entidade essencial ou importante, e o que a lei francesa exigirá dela, é uma questão da ANSSI e dos seus consultores.
- Nem todo o Artigo 21. Continuidade e backups do Business, criptografia, segurança de recursos humanos, controle de acesso aos seus próprios sistemas, treinamento: essas áreas são tratadas em outro lugar.
Planos em questão
O espaço de conformidade está incluído nos planos Pro e Business; não está disponível nos planos Free e Team. Os avisos e alertas do CERT-FR e as entradas do EUVD, por outro lado, são visíveis em todos os planos: são dados de vulnerabilidade como qualquer outro. Compare os planos.
E o TechWatchAlert como fornecedor?
Se você estiver sujeito ao NIS2, fazemos parte da sua cadeia de fornecimento (Artigo 21.2.d). Nosso Página de segurança reúne o que uma avaliação de fornecedor normalmente pede: hospedagem, subprocessadores e salvaguardas de transferência, medidas em vigor, contato de divulgação.
Perguntas frequentes
O TechWatchAlert torna minha organização compatível com NIS2?
Não, e nenhuma ferramenta pode. TechWatchAlert fornece ferramentas para parte das obrigações (monitoramento, correção, inventário, fornecedores, incidentes) e produz evidências datadas. A conformidade é avaliada em todas as suas medidas, pela sua organização e, quando relevante, pela ANSSI.
Devemos esperar pela lei francesa antes de começar?
Essa escolha é sua. A directiva já define o quadro, e o quadro ReCyF da ANSSI está disponível desde Março de 2026. Manter os seus registos a partir de agora dá-lhe um histórico para mostrar no dia em que as obrigações se aplicam.
O TechWatchAlert envia o relatório do incidente à ANSSI?
A ferramenta calcula os prazos (24 horas e 72 horas após o conhecimento, um mês após a notificação), lembra-os, prepara modelos pré-preenchidos e regista cada passo. O envio é de sua responsabilidade, através dos canais da ANSSI.
O NIS2 proíbe provedores americanos como Cloudflare?
Não. NIS2 pede que você avalie os riscos vinculados aos seus fornecedores, não para excluir uma nacionalidade. Em França, é a lei SREN (artigo 31.º) que exige ofertas do tipo SecNumCloud para determinadas administrações públicas que tratam dados sensíveis. TechWatchAlert não é qualificado pelo SecNumCloud e publica a lista de seus subprocessadores em seu Página de segurança.
Quais planos incluem o espaço de compliance?
Pro e Business. Os planos Free e Team não dão acesso a ele, mas como os outros mostram os avisos CERT-FR e entradas EUVD vinculadas ao seu CVEs.
Planos Pro e Business
Sua evidência NIS2, onde seu monitoramento já mora.
Cadastro de riscos aceitos, prazos de remediação, revisões de estoque, fornecedores, incidentes e relatório para gestão, na ferramenta que já rastreia suas vulnerabilidades. Comece com o plano Free; o espaço de conformidade é aberto com o plano Pro.
- Subprocessadores publicados
- Construído e hospedado na França
- Exporte seus dados a qualquer momento