NIS2 vs GDPR
NIS2 vs GDPR: uma protege a resiliência dos serviços, a outra protege os dados pessoais. Muitas empresas têm de cumprir ambas.
NIS2 vs GDPR é uma questão do que cada lei protege. O GDPR protege os dados pessoais das pessoas singulares e aplica-se a quase qualquer organização que os trate. A NIS2 protege a segurança e a continuidade dos sistemas de rede e de informação e aplica-se a organizações de setores listados acima de um limiar de dimensão.
Sobrepõem-se, mas uma não substitui a outra. Uma empresa num setor abrangido pode enfrentar ambas as regras ao mesmo tempo, e um único incidente, como uma violação que envolva dados pessoais, pode desencadear notificações ao abrigo de cada uma. Esta página é informação geral, não aconselhamento jurídico.
Lado a lado
| Capacidade | NIS2 | GDPR |
|---|---|---|
| Nome completo | Diretiva (UE) 2022/2555 relativa a medidas para um elevado nível comum de cibersegurança | Regulamento (UE) 2016/679, o Regulamento Geral sobre a Proteção de Dados |
| O que protege | Segurança e continuidade de redes e sistemas de informação e serviços | Dados pessoais e os direitos das pessoas |
| Forma jurídica | Diretiva, cada Estado-Membro aprova a sua própria lei nacional | Regulamento, aplica-se diretamente em todos os Estados-Membros |
| Quem está coberto | Entidades essenciais e importantes em setores listados, geralmente médias e grandes | Qualquer organização que trate dados pessoais de pessoas na UE, de qualquer dimensão |
| Funções principais | Medidas de gestão de risco, segurança da cadeia de fornecimento, responsabilidade da gestão | Base legal, minimização de dados, segurança, direitos dos titulares |
| Notificação de incidentes | Alerta precoce em 24 horas, notificação em 72 horas, relatório final em um mês | Notificar a autoridade de proteção de dados no prazo de 72 horas após uma violação de dados pessoais |
| Quem é informado | Autoridade nacional de cibersegurança ou CSIRT | Autoridade de proteção de dados e titulares afetados quando o risco é elevado |
| Coimas máximas | Até 10 milhões de euros ou 2% do volume de negócios para entidades essenciais, 7 milhões de euros ou 1,4% para entidades importantes | Até 20 milhões de EUR ou 4% do volume de negócios mundial |
| Responsabilidade de gestão | Explícito, a gestão tem de aprovar e supervisionar as medidas | A organização é responsável, sem cláusula de gestão específica |
Em que cada um se destaca
NIS2
- Eleva o nível de segurança em setores inteiros
- Coloca a responsabilidade de segurança na gestão
- Cobre o risco da cadeia de abastecimento
- Define passos claros e rápidos de reporte de incidentes
- O âmbito e os detalhes diferem entre Estados-Membros
- Aplica-se apenas a certos setores e dimensões
- Exige que as medidas de segurança sejam planeadas e documentadas
GDPR
- Confere às pessoas direitos fortes e claros
- Aplica-se da mesma forma em toda a UE
- Bem estabelecido, com anos de orientação
- Abrange organizações de todos os tamanhos
- Foca-se nos dados pessoais, não em todos os sistemas
- As regras de segurança são amplas em vez de específicas
- Muitos deveres de documentação e consentimento
Foque na NIS2 quando
- Opera num setor listado pela diretiva, como energia, transportes, saúde, infraestrutura digital ou fabrico de bens essenciais
- É uma média ou grande empresa, ou fornece a uma
- A paragem do seu serviço afetaria clientes ou o público
- Um cliente pede prova de segurança da cadeia de abastecimento
- A sua administração precisa de mostrar que supervisiona o risco cibernético
Foque no GDPR quando
- Recolhe ou armazena dados de clientes, colaboradores ou utilizadores
- Tem um site, loja ou app com contas ou rastreamento
- Utiliza subcontratantes ou serviços cloud para dados pessoais
- As pessoas pedem para ver, corrigir ou eliminar os seus dados
- É uma pequena empresa fora dos setores da NIS2
Perguntas frequentes
Qual é a principal diferença entre a NIS2 e o GDPR?
A NIS2 substitui o GDPR?
As pequenas empresas têm de cumprir a NIS2 vs GDPR?
Quando começou a aplicar-se a NIS2?
Não sabe como isto se aplica a si?
Um engenheiro sénior percorre o seu site, a sua presença na pesquisa e a forma como os pedidos lhe chegam e depois escreve as três coisas que vale a pena corrigir primeiro. O documento fica consigo de qualquer forma.