A Comissão Europeia encaminhou França, Irlanda, Holanda e Espanha ao Tribunal de Justiça da União Europeia após os quatro países não implementarem a diretiva de cibersegurança do NIS2 dentro do prazo exigido. A diretiva deveria ser transposta para a lei nacional até 17 de outubro de 2024, mas os quatro Estados-membros ainda não concluíram o processo.
O NIS2 é o marco atualizado de cibersegurança da União Europeia, voltado para fortalecer a proteção das organizações que atuam em setores críticos. As regras se aplicam a setores como saúde, energia, finanças, transporte, infraestrutura digital, administração pública e telecomunicações, exigindo que as organizações adotem medidas de cibersegurança mais rigorosas e relatem incidentes cibernéticos significativos.
A Comissão Europeia afirmou que a diretiva é essencial para melhorar a resiliência tanto de organizações públicas quanto privadas contra ameaças cibernéticas. Também estabelece uma cooperação mais estreita entre os Estados-membros da UE por meio do compartilhamento de informações e da resposta coordenada a incidentes, ao mesmo tempo em que introduz obrigações mais rigorosas de gestão de riscos e reporte para as entidades afetadas.
Ao encaminhar os quatro países para o mais alto tribunal da UE, a Comissão busca garantir o cumprimento da legislação de cibersegurança do bloco. Se o Tribunal de Justiça decidir contra os Estados-membros e eles continuarem adiando a implementação, eles podem enfrentar penalidades financeiras.
A maioria dos outros países da UE já adotou legislação nacional que implementa a diretiva. A Holanda, no entanto, avançou recentemente após ambas as câmaras do parlamento aprovarem a Lei de Cibersegurança do país, que incorpora os requisitos do NIS2 à legislação holandesa. A legislação deve entrar em vigor em 15 de agosto, trazendo mais de 8.000 organizações holandesas sob o novo arcabouço de cibersegurança.
Uma vez implementado, o NIS2 exigirá que as organizações cobertas fortaleçam sua governança de cibersegurança, melhorem a segurança da cadeia de suprimentos, estabeleçam procedimentos de resposta a incidentes e relatem incidentes cibernéticos significativos dentro dos prazos estabelecidos. Executivos da empresa também podem enfrentar maior responsabilidade pela supervisão de cibersegurança sob os requisitos de governança da diretiva.