NIS2 Directive Analysis and Preparation for its Implementation

Abstract

The progressive development of new Information Technologies (IT) and the ever-increasing dependency in offering many different types of services through digital platforms, has led to an unprecedent race for the development of solutions in competitive markets. This transformed the digital threat landscape, now also continuously changing and evolving with new threats and vulnerabilities. Cybersecurity has become a major topic for organizations worldwide and to protect markets and societies, governmental entities are developing legislation for a general increase of cyber resilience levels across their borders. It is in this context that this study aims to help the Portuguese organization Altri to prepare for the arrival of a new cybersecurity legislation known as NIS2, published by the European Union and applicable to all its Member States. NIS2 as a directive is a document setting future objective and it is up to Member States to make them reality by transposing the directive’s guidelines into their national laws. With October 2024 as the date limit for the transposition to happen for all Member States, NIS2 brings potential changes to Portugal national laws in terms of cybersecurity requirements which Altri intends to access, not only to develop its cybersecurity framework, but also to remain compliant with the regulations relevant to its operational context. To help Altri prepare NIS2, this study is conducted and divided in two parts. The first part consists in the study of the directive contents, in which level its scope is applicable to the organization and which directive’s measures and considerations are relevant. In the second part, artifacts are developed, based on the identified areas of interest of the first part, to help guide future works and efforts of Altri in the further development of its cybersecurity structure and resilience along the guidelines and obligations covered by the NIS2 directive.

O desenvolvimento progressivo das novas Tecnologias de Informação (TI) e a dependência cada vez maior na oferta dos mais diversos tipos de serviços através de plataformas digitais, levaram a uma corrida sem precedentes pelo desenvolvimento de soluções em mercados competitivos. Isto transformou o cenário das ameaças digitais, que se encontra em constante evolução com novas ameaças e vulnerabilidades. A cibersegurança tornou-se um tema importante para as organizações em todo o mundo e para proteger os mercados e as sociedades, as entidades governamentais estão a desenvolver legislação para um aumento geral dos níveis de resiliência cibernética para lá das respectivas fronteiras. É neste contexto que este estudo pretende ajudar a organização portuguesa Altri a preparar-se para a entrada em vigor de uma nova legislação de cibersegurança conhecida como NIS2, publicada pela União Europeia e aplicável a todos os seus Estados-Membros. Enquanto diretiva, a NIS2 é um documento que estabelece objectivos futuros cabendo aos Estados-Membros torná-los realidade, transpondo as directrizes da directiva para as suas legislações nacionais. Tendo Outubro de 2024 como data limite para a transposição acontecer para todos os Estados-Membros, a NIS2 traz potenciais alterações às leis nacionais de Portugal em termos de requisitos de cibersegurança aos quais o grupo Altri pretende aceder, não só para desenvolver a respectiva infraestrutura de cibersegurança, mas também para se manter em conformidade com a regulamentação pertinente ao seu contexto operacional. Este trabalho tem o intuito de ajudar o grupo Altri na preparação para a entrada da NIS2, sendo dividido em duas partes. A primeira parte consiste na análise dos conteúdos da directiva, em que nível o seu âmbito é aplicável à organização e quais as respectivas medidas e considerações relevantes. Na segunda parte são desenvolvidos artefactos, com base nas áreas de interesse identificadas na primeira parte, de forma a orientar os futuros trabalhos e esforços da Altri no desenvolvimento da sua infrestrutura de cibersegurança ao longo das orientações e obrigações abrangidas pela directiva NIS2.