Orientação NIS2 para empresas de contabilidade: que medidas mínimas de cibersegurança deves tomar?

A nova diretiva NIS2 exige que as empresas de contabilidade tomem mais medidas para evitar violações de segurança cibernética. A lei cibernética europeia está em vigor desde 16 de janeiro de 2023. A Holanda e outros países membros têm até outubro de 2024 para implementar a legislação nacionalmente. Isso significa que, a partir dessa data, os contabilistas terão que cumprir as novas diretrizes de segurança cibernética.

O que é a nova diretiva NIS2?

A nova diretiva NIS2 torna mais rígidos os requisitos para entidades essenciais e adiciona obrigações para «entidades importantes», incluindo empresas de contabilidade. Num artigo anterior, explicámos o que a nova diretiva implica e quais as alterações em relação à NIS1. A principal diferença é a expansão para «entidades importantes», além das entidades essenciais, às quais a diretiva já se aplicava. As empresas de contabilidade também são consideradas entidades importantes e devem aderir a diretrizes de cibersegurança mais rigorosas a partir de 2024.

O que muda para as empresas de contabilidade?

As empresas de contabilidade já têm de cumprir as diretrizes para uma boa documentação de TI, especialmente no que diz respeito à segurança da informação que garante a continuidade, a fiabilidade e os riscos do processamento automatizado de dados (ISA 315 (COS 315) do ISAAB). As empresas de contabilidade são também obrigadas a apresentar relatórios sobre a cibersegurança com base num exame pericial (artigo 2:393, n.º 4, do BW).

Além disso, estão a ser acrescentadas novas regras. Por exemplo, o conselho de administração passa a ser responsável pela cibersegurança da empresa de contabilidade, deixando de ser apenas da responsabilidade de um parceiro de TI da empresa. A nova diretiva acrescenta três outras alterações:

• Lista das medidas mínimas de segurança de base
  A diretiva é mais concreta, graças a uma lista de medidas mínimas de segurança de base que as empresas devem aplicar. A diretiva impõe uma abordagem à gestão dos riscos.
• Lidar com a segurança na cadeia de abastecimento
  As empresas devem abordar os riscos de segurança na sua cadeia de abastecimento, incluindo os riscos decorrentes das relações com os fornecedores.
• Supervisão mais rigorosa
  As autoridades nacionais podem fazer uma supervisão e fiscalização mais rigorosas. A nova diretiva alinha as regras de sanções e os requisitos de comunicação de forma mais equitativa em todos os Estados-Membros.

Serás multado se não cumprires?

As empresas de contabilidade que não respeitarem a nova diretiva receberão uma advertência e depois um aviso. A autarquia local pode então aplicar coimas até um máximo de 10 milhões de euros ou 2% do volume de negócios anual.

Para sócios e administradores, isto é pessoal. O artigo 20.º obriga a gestão a frequentar formação em cibersegurança e a nossa formação NIS2 para executivos permite fazê-lo online, com um certificado como prova.

Que riscos correm as empresas de contabilidade?

A União Europeia designa as empresas de contabilidade como entidades importantes. Os riscos cibernéticos têm um impacto nas próprias empresas, bem como na sociedade em geral. Naturalmente, os contabilistas estão há muito tempo conscientes do risco que representa a cibercriminalidade. Por exemplo, a pesquisa da Skopos mostra que a maioria dos contabilistas acredita que a segurança da informação deve receber mais atenção.

A empresa de contabilidade Grant Thornton aponta para uma mudança de ganhar dinheiro para intenções maliciosas e para os riscos crescentes que daí advêm. Além disso, já foi noticiado que empresas holandesas estão a ser alvo de pirataria informática por parte dos serviços secretos russos.

A SRA, que representa 375 contabilistas independentes com 900 sucursais nos Países Baixos como uma organização em rede, relata que as empresas de contabilidade se deparam cada vez mais com, por exemplo, ransomware, malware e cryptojacking.

Prevenir a cibercriminalidade: o que podes fazer enquanto empresa de contabilidade?

Com base na nova diretiva NIS2, as empresas de contabilidade devem tomar medidas adequadas a partir de 2024 para evitar violações da cibersegurança ou limitar as suas consequências. Já podes tomar medidas antes da entrada em vigor da nova diretiva. A SRA recomenda, por exemplo, que

• Mapeamento dos riscos
  Só podes tomar medidas adequadas se souberes quais os riscos que a tua empresa de contabilidade enfrenta. Assegura-te de que fazes o levantamento dos riscos ou contrata especialistas externos para o efeito. Dentro dos riscos, distingue entre os que dizem respeito à prestação direta de serviços e à continuidade da atividade. Classifica os riscos para criar uma lista de prioridades e tomar as medidas adequadas.
• Um quadro de política de cibersegurança
  Desenvolve um quadro de política de cibersegurança para pensar em toda a organização sobre os riscos cibernéticos e as medidas importantes. Começa com uma simples folha A4 que descreva os princípios, os quadros e as diferentes responsabilidades. Mais tarde, expande-a para uma política mais abrangente, como as que se centram em riscos cibernéticos específicos enfrentados pela sua empresa de contabilidade.
• Prepara-te para as violações de dados e os hacks
  Prepara-te para as violações de dados e as piratarias, porque todas as organizações podem vir a sofrer. Cria um plano que defina quem deve responder, como e que medidas de recuperação são necessárias. Mantém um registo de todos os incidentes e analisa o que aconteceu. Elimina as lacunas na segurança e verifica se as medidas estão a produzir os resultados pretendidos.
• Toma medidas concretas
  Toma medidas concretas quando subsistem lacunas de segurança. Ou cumpre as medidas especificadas na nova diretiva NIS2 para se preparar para as alterações em 2024. Reforça a cibersegurança, tanto na tua empresa de contabilidade como nas relações com os fornecedores. A nova diretiva exige que as empresas tenham em conta a cibersegurança em toda a cadeia de abastecimento.
• Subcontrata as TI a especialistas
  Subcontrata TI e cibersegurança a especialistas que lidam com estas questões diariamente. Além disso, contrata especialistas para migrar aplicações para a nuvem ou adicionar, melhorar ou alterar outros serviços de TI. Desenvolvem com base na Security by Design, pensando na (ciber)segurança em cada passo.

Além disso, algumas medidas básicas podem melhorar diretamente a ciber-resiliência da tua empresa de contabilidade, tais como

Facilita as coisas com o Guardey

Como empresa de contabilidade, podes sentir-te sobrecarregado com tudo isto. Afinal, preferes concentrar-te no teu trabalho de contabilidade. Por isso, deixa que a Guardey trate da vertente humana da cibersegurança. A Guardey forma a tua equipa através de desafios curtos e lúdicos de três minutos por semana, testa-os com simulações realistas de phishing e fornece-te os relatórios exigidos pela NIS2.

Descobre a nossa solução ou faz-nos qualquer pergunta. Teremos todo o gosto em explicar-te como o Guardey ajuda o teu escritório de contabilidade e como cumprir a diretiva NIS2 a partir de 2024!