Lei NIS2 e licenças de software: um desafio estratégico para a conformidade das empresas

Lei NIS2 e licenças de software: um desafio estratégico para a conformidade das empresas

A cibersegurança tornou-se um tema central para as organizações europeias. Com a entrada em vigor da Diretiva NIS2, os requisitos em matéria de segurança dos sistemas de informação são consideravelmente reforçados.

Embora a diretiva seja frequentemente abordada sob a perspetiva das infraestruturas críticas ou das medidas técnicas de proteção, há um tema que ainda é pouco tratado: a gestão de licenças de software, em particular das licenças da Microsoft, numa lógica de conformidade e controlo de riscos.

NIS2: um quadro reforçado para a cibersegurança na Europa

A diretiva NIS2 (Network and Information Security 2) substitui a primeira diretiva NIS de 2016. Ela amplia o âmbito das empresas abrangidas e impõe obrigações mais rigorosas em matéria de:

• gestão de riscos cibernéticos,
• segurança dos sistemas de informação,
• governança,
• responsabilidade dos dirigentes,
• notificação de incidentes.

As sanções financeiras também foram reforçadas, podendo atingir vários milhões de euros em caso de incumprimento.

Concretamente, isso significa que as empresas devem demonstrar um domínio completo do seu ambiente de TI, incluindo o software utilizado.

Por que as licenças de software são afetadas pela NIS2?

Uma má gestão das licenças pode resultar em:

• a utilização de versões obsoletas e sem manutenção,
• a ausência de correções de segurança,
• instalações não conformes,
• traçabilidade insuficiente em caso de auditoria.

No entanto, a diretiva obriga as empresas a implementar medidas de segurança adequadas e a garantir a integridade dos seus sistemas de informação.

Isso implica, nomeadamente:

• um inventário preciso dos softwares implementados,
• uma gestão rigorosa dos direitos de uso,
• a capacidade de comprovar a legitimidade das licenças em caso de fiscalização.

Governança de TI e responsabilidade dos gestores

Uma das principais contribuições da NIS2 é o reforço da responsabilidade dos gestores. Os membros da direção podem agora ser responsabilizados em caso de incumprimento grave das obrigações de cibersegurança.

Neste contexto, a gestão de licenças já não é da exclusiva responsabilidade do departamento de informática: torna-se uma questão de governação.

As empresas devem ser capazes de demonstrar uma política clara de gestão de ativos de software, processos de controlo e uma estratégia de atualização e manutenção em condições operacionais.

Licenças Microsoft usadas e conformidade regulamentar: compatível com NIS2?

A utilização de licenças em segunda mão, legal na União Europeia, pode perfeitamente enquadrar-se numa abordagem NIS2, desde que respeite a rastreabilidade, a prova de cessão, a conformidade contratual e a correta atribuição dos direitos de utilização.

Numa lógica NIS2, podem mesmo constituir:

• uma solução economicamente otimizada,
• uma alavanca de alinhamento com as políticas de RSE,
• uma alternativa relevante para manter ambientes estáveis e seguros.

O segredo continua a ser a conformidade documental e a rastreabilidade completa das licenças.

Antecipe as necessidades e faça a diferença

A Diretiva NIS2 marca uma nova etapa na segurança dos sistemas de informação na Europa.

Neste contexto, a gestão de licenças de software, nomeadamente licenças Microsoft, torna-se um tema estratégico, na intersecção entre a cibersegurança, a conformidade regulamentar e a governança de TI.

Alguns dos seus clientes ainda utilizam licenças que já não são suportadas pela Microsoft. Por isso, é essencial acompanhá-los desde já na procura de alternativas viáveis.