8 de março de 2023 - Geral
A nova diretiva NIS2 exige que as empresas de contabilidade tomem mais medidas para evitar violações da cibersegurança. A legislação europeia em matéria de cibersegurança está em vigor desde 16 de janeiro de 2023. Os Países Baixos e outros Estados-Membros têm até outubro de 2024 para implementar a legislação a nível nacional. Isto significa que, a partir desse momento, os contabilistas terão de cumprir as novas directrizes de cibersegurança.
O que é a nova diretiva NIS2?
A nova diretiva NIS2 reforça os requisitos para as empresas essenciais e acrescenta obrigações para as "empresas importantes", incluindo as empresas de contabilidade. Num artigo anterior, explicámos o que a nova diretiva implica e o que muda em relação à NIS1. A principal diferença é o alargamento a "empresas importantes", para além das empresas essenciais, às quais a diretiva já se aplicava. As empresas de contabilidade também são consideradas empresas importantes e devem aderir a directrizes de cibersegurança mais rigorosas a partir de 2024.
O que muda para as empresas de contabilidade?
As empresas de contabilidade já têm de cumprir as directrizes para uma boa documentação de TI, especialmente no que diz respeito à segurança da informação que garante a continuidade, a fiabilidade e os riscos do processamento automatizado de dados (ISA 315 (COS 315) do ISAAB). As empresas de contabilidade são também obrigadas a apresentar relatórios sobre a cibersegurança com base num exame pericial (artigo 2:393, n.º 4, do BW).
Além disso, estão a ser acrescentadas novas regras. Por exemplo, o conselho de administração passa a ser responsável pela cibersegurança da empresa de contabilidade, deixando de ser apenas da responsabilidade de um parceiro de TI da empresa. A nova diretiva acrescenta três outras alterações:
- Lista das medidas mínimas de segurança de base
A diretiva é mais concreta, graças a uma lista de medidas mínimas de segurança de base que as empresas devem aplicar. A diretiva impõe uma abordagem à gestão dos riscos. - Lidar com a segurança na cadeia de abastecimento
As empresas devem abordar os riscos de segurança na sua cadeia de abastecimento, incluindo os riscos decorrentes das relações com os fornecedores. - Supervisão mais rigorosa
As autoridades nacionais podem efetuar um controlo e uma aplicação mais rigorosos. A nova diretiva alinha as regras de sanção e os requisitos de notificação de forma mais equitativa em todos os Estados-Membros.
Serás multado se não cumprires?
As empresas de contabilidade que não respeitarem a nova diretiva receberão uma advertência e depois um aviso. A autarquia local pode então aplicar coimas até um máximo de 10 milhões de euros ou 2% do volume de negócios anual.
Que riscos correm as empresas de contabilidade?
A União Europeia designa as empresas de contabilidade como empresas importantes. Os riscos cibernéticos têm um impacto nas próprias empresas, bem como na sociedade em geral. Naturalmente, os contabilistas estão há muito tempo conscientes do risco que representa a cibercriminalidade. Por exemplo, a pesquisa da Skopos mostra que a maioria dos contabilistas acredita que a segurança da informação deve receber mais atenção.
A empresa de contabilidade Grant Thornton aponta para uma mudança de ganhar dinheiro para intenções maliciosas e para os riscos crescentes que daí advêm. Além disso, já foi noticiado que empresas holandesas estão a ser alvo de pirataria informática por parte dos serviços secretos russos.
A SRA, que representa 375 contabilistas independentes com 900 sucursais nos Países Baixos como uma organização em rede, relata que as empresas de contabilidade se deparam cada vez mais com, por exemplo, ransomware, malware e cryptojacking.
Prevenir a cibercriminalidade: o que podes fazer enquanto empresa de contabilidade?
Com base na nova diretiva NIS2, as empresas de contabilidade devem tomar medidas adequadas a partir de 2024 para evitar violações da cibersegurança ou limitar as suas consequências. Já podes tomar medidas antes da entrada em vigor da nova diretiva. A SRA recomenda, por exemplo, que
- Mapeamento dos riscos
Só podes tomar medidas adequadas se souberes quais os riscos que a tua empresa de contabilidade enfrenta. Assegura-te de que fazes o levantamento dos riscos ou contrata especialistas externos para o efeito. Dentro dos riscos, distingue entre os que dizem respeito à prestação direta de serviços e à continuidade da atividade. Classifica os riscos para criar uma lista de prioridades e tomar as medidas adequadas. - Um quadro de política de cibersegurança
Desenvolve um quadro de política de cibersegurança para pensar em toda a organização sobre os riscos cibernéticos e as medidas importantes. Começa com uma simples folha A4 que descreva os princípios, os quadros e as diferentes responsabilidades. Mais tarde, expande-a para uma política mais abrangente, como as que se centram em riscos cibernéticos específicos enfrentados pela sua empresa de contabilidade. - Prepara-te para as violações de dados e os hacks
Prepara-te para as violações de dados e as piratarias, porque todas as organizações podem vir a sofrer. Cria um plano que defina quem deve responder, como e que medidas de recuperação são necessárias. Mantém um registo de todos os incidentes e analisa o que aconteceu. Elimina as lacunas na segurança e verifica se as medidas estão a produzir os resultados pretendidos. - Toma medidas concretas
Toma medidas concretas quando subsistem lacunas de segurança. Ou cumpre as medidas especificadas na nova diretiva NIS2 para se preparar para as alterações em 2024. Reforça a cibersegurança, tanto na tua empresa de contabilidade como nas relações com os fornecedores. A nova diretiva exige que as empresas tenham em conta a cibersegurança em toda a cadeia de abastecimento. - Subcontrata as TI a especialistas
Subcontrata TI e cibersegurança a especialistas que lidam com estas questões diariamente. Além disso, contrata especialistas para migrar aplicações para a nuvem ou adicionar, melhorar ou alterar outros serviços de TI. Desenvolvem com base na Security by Design, pensando na (ciber)segurança em cada passo.
Além disso, algumas medidas básicas podem melhorar diretamente a ciber-resiliência da tua empresa de contabilidade, tais como
- Autenticação multi-fator (MFA) para todas as contas digitais
- Cópias de segurança regulares (automatizadas)
- Utilização de um gestor de senhas com uma senha mestra complexa
- Configura uma notificação para e-mails de remetentes externos
- Disponibiliza listas de contactos offline
Facilita as coisas com o Guardey
Como empresa de contabilidade, podes sentir-te sobrecarregado com tudo isto. Afinal de contas, preferes concentrar-te no teu trabalho de contabilidade. Então, deixa que Guardey cuide da segurança cibernética para ti. Oferecemos uma solução completa para uma conetividade segura, proteção contra software nocivo e formação profissional (mas divertida!) dos empregados.
Com o Guardey, escolhe uma solução completa de cibersegurança de uma só vez. Somos totalmente plug & play, por isso é simples, acessível e económico.
Descobre a nossa solução ou coloca-nos as tuas questões. Teremos todo o prazer em explicar como o Guardey pode proteger a tua empresa de contabilidade de todas as ameaças digitais e como cumprir a diretiva NIS2 a partir de 2024!
