Diretriz NIS2 para empresas de contabilidade: quais medidas mínimas de segurança cibernética devem ser tomadas?

A nova diretiva NIS2 exige que as empresas de contabilidade tomem mais medidas para prevenir violações de segurança cibernética. A lei cibernética europeia está em vigor desde 16 de janeiro de 2023. A Holanda e outros Estados-Membros têm até outubro de 2024 para implementar a legislação a nível nacional. Isso significa que, a partir dessa data, os contadores terão que cumprir as novas diretrizes de segurança cibernética.

O que é a nova diretriz NIS2?

A nova diretiva NIS2 torna mais rigorosos os requisitos para entidades essenciais e acrescenta obrigações para “entidades importantes”, incluindo empresas de contabilidade. Em um artigo anterior, explicamos o que a nova diretiva implica e quais são as mudanças em relação à NIS1. A principal diferença é a expansão para “entidades importantes”, além das entidades essenciais, às quais a diretiva já se aplicava. As empresas de contabilidade também são consideradas entidades importantes e devem aderir a diretrizes de segurança cibernética mais rigorosas a partir de 2024.

O que muda para as empresas de contabilidade?

As empresas de contabilidade já precisam cumprir as diretrizes para uma boa documentação de TI, especialmente com relação à segurança das informações que garante a continuidade, a confiabilidade e os riscos do processamento automatizado de dados (ISA 315 (COS 315) do ISAAB). As empresas de contabilidade também são obrigadas a informar sobre a segurança cibernética com base em um exame especializado (Artigo 2:393, parágrafo 4, BW).

Além disso, novas regras estão sendo adicionadas. Por exemplo, o conselho de administração agora é responsável pela segurança cibernética da empresa de contabilidade, e não mais apenas a responsabilidade de um parceiro de TI da empresa. A nova diretriz acrescenta três outras alterações:

• Lista de medidas básicas mínimas de segurança
  A diretriz é mais concreta, graças a uma lista de medidas básicas mínimas de segurança que as empresas devem aplicar. A diretriz impõe uma abordagem para o gerenciamento de riscos.
• Lidando com a segurança na cadeia de suprimentos
  As empresas devem lidar com os riscos de segurança em sua cadeia de suprimentos, incluindo os riscos decorrentes das relações com os fornecedores.
• Supervisão mais rigorosa
  As autoridades nacionais podem realizar uma supervisão e fiscalização mais rigorosas. A nova diretiva harmoniza as regras de sanção e os requisitos de comunicação de forma mais equitativa em todos os Estados-Membros.

Você será multado se não cumprir a lei?

As empresas de contabilidade que não cumprirem a nova diretriz receberão uma advertência e, em seguida, um lembrete. A autoridade local poderá então impor multas, até um máximo de 10 milhões de euros ou 2% do faturamento anual.

Para sócios e diretores, isso é pessoal. O artigo 20 exige que a administração faça treinamento em cibersegurança, e nosso treinamento NIS2 para executivos permite fazer isso on-line, com um certificado como comprovação.

Quais são os riscos enfrentados pelas empresas de contabilidade?

A União Europeia designa as empresas de contabilidade como negócios importantes. Os riscos cibernéticos têm impacto sobre as próprias empresas, bem como sobre a sociedade em geral. É claro que os contadores há muito tempo estão cientes do risco representado pelo crime cibernético. Por exemplo, a pesquisa da Skopos mostra que a maioria dos contadores acredita que a segurança das informações deve receber mais atenção.

A empresa de contabilidade Grant Thornton aponta para uma mudança do ganho de dinheiro para a intenção maliciosa e os riscos crescentes que vêm com ela. Além disso, já foi relatado que empresas holandesas estão sendo hackeadas por serviços de inteligência russos.

A SRA, que representa 375 contadores independentes com 900 filiais na Holanda como uma organização de rede, relata que as empresas de contabilidade estão se deparando cada vez mais com, por exemplo, ransomware, malware e cryptojacking.

Prevenção de crimes cibernéticos: o que você pode fazer como escritório de contabilidade?

Com base na nova diretiva NIS2, as empresas de contabilidade devem tomar medidas adequadas a partir de 2024 para evitar violações de segurança cibernética ou limitar suas consequências. Você já pode tomar medidas antes da nova diretriz. A SRA recomenda, por exemplo:

• Mapeamento de riscos
  Você só poderá tomar as medidas adequadas se souber quais são os riscos enfrentados pelo seu escritório de contabilidade. Certifique-se de mapear os riscos ou contratar especialistas externos para isso. Dentro dos riscos, faça a distinção entre aqueles relacionados à prestação direta de serviços e à continuidade dos negócios. Classifique os riscos para criar uma lista de prioridades e tomar as medidas apropriadas.
• Uma estrutura de política de segurança cibernética
  Desenvolva uma estrutura de política de segurança cibernética para pensar em toda a organização sobre os riscos cibernéticos e as medidas importantes. Comece com uma simples folha A4 descrevendo os princípios, as estruturas e as diferentes responsabilidades. Posteriormente, expanda isso para uma política mais abrangente, como aquelas focadas em riscos cibernéticos específicos enfrentados por sua empresa de contabilidade.
• Preparação para violações de dados e hacks
  Prepare-se para violações de dados e hacks porque toda organização pode passar por isso. Crie um plano que descreva quem deve responder, como e quais medidas de recuperação são necessárias. Mantenha o registro de todos os incidentes e analise o que aconteceu. Feche as lacunas na segurança e verifique se as medidas estão produzindo os resultados pretendidos.
• Tome medidas concretas
  Tome medidas concretas quando houver lacunas na segurança. Ou, cumpra as medidas especificadas na nova diretriz NIS2 para se preparar para as mudanças em 2024. Aprimore a segurança cibernética, tanto em sua empresa de contabilidade quanto nas relações com os fornecedores. A nova diretiva exige que as empresas considerem a segurança cibernética em toda a cadeia de suprimentos.
• Terceirização de TI para especialistas
  Terceirize a TI e a segurança cibernética com especialistas que lidam com esses problemas diariamente. Além disso, contrate especialistas para migrar aplicativos para a nuvem ou adicionar, melhorar ou alterar outros serviços de TI. Eles desenvolvem com base no Security by Design, pensando na segurança (cibernética) em cada etapa.

Além disso, algumas medidas básicas podem melhorar diretamente a resiliência cibernética de sua empresa de contabilidade, tais como:

Facilite as coisas com o Guardey

Como escritório de contabilidade, você pode se sentir sobrecarregado com tudo isso. Afinal, você prefere se concentrar no seu trabalho contábil. Então, deixe que a Guardey cuide do lado humano da segurança cibernética. A Guardey treina sua equipe por meio de desafios curtos e gamificados de três minutos por semana, testa-a com simulações realistas de phishing e fornece os relatórios exigidos pela NIS2.

Conheça nossa solução ou entre em contato conosco para esclarecer suas dúvidas. Teremos o maior prazer em explicar como o Guardey pode ajudar seu escritório de contabilidade e como cumprir a diretiva NIS2 a partir de 2024!