Visão Geral da Diretiva NIS2 Europeia

NIS2 é uma nova diretiva da UE à qual você precisa prestar atenção.

Embora não se possa negar que a digitalização tornou os processos internos e externos mais eficientes, facilitando o movimento de mercadorias e minimizando custos, é justamente essa dependência de sistemas digitais interconectados que deixou os fabricantes — e suas cadeias de valor — vulneráveis a um nível sem precedentes de ameaças cibernéticas, à medida que os criminosos cibernéticos visam cada vez mais as vulnerabilidades dentro da cadeia de suprimentos. 

A União Europeia abordou mais uma vez esta área de grande preocupação por meio da Diretiva de Segurança da Rede e da Informação NIS2, tomando medidas legais para reforçar as defesas cibernéticas em uma gama mais ampla de setores, introduzir responsabilidade executiva, tornar as empresas responsáveis por suas cadeias de suprimentos e implementar penalidades financeiras significativas para a não conformidade.

Vamos explorar como a Diretiva NIS2 estabelece novos padrões para a cibersegurança e o que isso significa para você e seus parceiros comerciais.

A Crescente Ameaça da Cibersegurança na Indústria de PCB

À medida que as capacidades de nossos adversários amadurecem, nossa resposta também deve evoluir.

De acordo com o Relatório Global de Ameaças 2024 da CrowdStrike, em 2023, o setor de tecnologia foi o mais visado para atividades de intrusão interativa, e o setor de telecomunicações foi o segundo mais visado.

Part Insights Experience

Access critical supply chain intelligence as you design.

Learn More

Como componentes-chave em quase todos os dispositivos eletrônicos, as PCBs são ativos cruciais nestes e em muitas outras indústrias vitais, como aeroespacial, automotiva e saúde; qualquer interrupção nas cadeias de fornecimento de PCB causada por ameaças cibernéticas tem o potencial de se propagar por setores inteiros, causando atrasos custosos e paralisações operacionais. No entanto, ao longo da última década, a manufatura foi transformada pelo que foi denominado como Indústria 4.0 e inovações digitais como gêmeos digitais, robótica, IA, computação em nuvem e a Internet Industrial das Coisas (IIoT). Embora esses avanços promovam o crescimento e a eficiência, eles também aumentam a exposição do setor a ameaças cibernéticas, oferecendo novos pontos de entrada para que os criminosos cibernéticos explorem.

Outros fatores que aumentam os riscos de segurança cibernética na manufatura incluem treinamento insuficiente dos funcionários, onde a falta de conscientização pode levar a senhas fracas ou vulnerabilidade a ataques de phishing. Além disso, a dependência de sistemas desatualizados sem recursos de segurança modernos cria riscos cibernéticos, assim como cadeias de suprimentos complexas com numerosos parceiros terceirizados que apresentam múltiplos pontos de entrada para hackers. A natureza altamente competitiva da indústria e sua dependência de operações baseadas em dados também aumentam a probabilidade de roubo de propriedade intelectual ou violações de dados.

As ameaças cibernéticas podem assumir várias formas, incluindo ataques à cadeia de suprimentos, ransomware, roubo de propriedade intelectual e sabotagem de produção, e introduzir riscos financeiros, estratégicos e de reputação significativos.

Tipos Comuns de Ataques Cibernéticos na Manufatura

Tipos comuns de ataques cibernéticos na manufatura e como eles funcionam:

• Ataques de ransomware: Software malicioso ("malware") que restringe o acesso a um sistema de computador ou arquivos até que um resgate seja pago.
• Ataques de phishing: E-mails, sites ou mensagens enganosas projetadas para induzir indivíduos a divulgar informações sensíveis.
• Campanhas de whaling: Ataques de phishing sofisticados direcionados a indivíduos de alto escalão dentro de uma organização.

O que isso significa na prática? Por meio de um ataque de ransomware, agentes mal-intencionados podem paralisar completamente a produção, com perdas se espalhando tanto para cima quanto para baixo na cadeia de suprimentos. A exposição de projetos proprietários de PCBs através de violações de dados poderia levar a possíveis perdas de mercado e desvantagens competitivas.

Part Insights Experience

Access critical supply chain intelligence as you design.

Learn More

Como um exemplo recente da ameaça muito real que a cibersegurança representa para a indústria, o fornecedor de semicondutores com sede nos EUA, Microchip Technology, confirmou que um recente ataque de ransomware levou ao roubo de informações pessoais e outros dados de seus sistemas. A empresa relatou o incidente em 20 de agosto, notificando a SEC dos EUA de que alguns servidores e operações comerciais foram afetados. No entanto, eles conseguiram conter o ataque isolando os sistemas impactados.

Entendendo a Diretiva NIS2

Uma extensão da Diretiva NIS que foi introduzida em 2016, que visava principalmente setores de infraestrutura crítica, como energia e transporte, a NIS2 amplia o escopo do quadro regulatório original, exigindo que organizações de uma gama mais ampla de indústrias as adotem, uma resposta ao aumento da maturidade e intensidade da paisagem cibernética atual.

Aspectos-chave da diretiva que você precisa estar atento incluem:

• Alcance Expandido: Ao contrário de seu predecessor, a Diretiva NIS2 inclui uma gama mais ampla de setores, expandindo das indústrias de infraestrutura central para uma variedade de setores de manufatura, incluindo a fabricação de PCBs, que é classificada sob a categoria de setor "essencial". O objetivo é proteger entidades que fornecem serviços críticos para atividades econômicas e sociais.
• Requisitos de Segurança Mais Rigorosos: O NIS2 impõe medidas de cibersegurança mais robustas, exigindo que as organizações implementem procedimentos para detecção e tratamento de incidentes cibernéticos, garantindo a continuidade dos negócios, incluindo prevenção de incidentes, gestão de riscos e requisitos de resposta a incidentes.
• Segurança Reforçada da Cadeia de Suprimentos: Regulamentado no Artigo 21(2)(d), um dos elementos mais importantes da Diretiva NIS2 para fabricantes introduz padrões para avaliar a postura de cibersegurança dos fornecedores. Sob esta disposição, entidades chave e essenciais devem implementar medidas técnicas, operacionais e organizacionais apropriadas e proporcionais para salvaguardar a segurança da cadeia de suprimentos.
• Obrigações de Relatório de Incidentes: Sob o NIS2, as organizações agora são obrigadas a reportar incidentes às autoridades nacionais, impondo um prazo de 24 horas para o relatório inicial e atualizações adicionais dentro de 72 horas.
• Responsabilidade e Governança: Adicionando um novo nível de responsabilidade para os executivos da empresa, sob o NIS2, as organizações devem nomear um oficial ou gerente designado responsável pela cibersegurança, e a alta gestão pode ser responsabilizada por não conformidade. 
• Sanções por Não Conformidade: A Diretiva NIS2 permite penalidades financeiras significativas por não conformidade. Essas penalidades variam, mas podem chegar até €10 milhões ou 2% do faturamento global da empresa, criando um incentivo econômico convincente para aderir aos padrões.

O Que o NIS2 Significa Para a Sua Cadeia de Suprimentos

Ao estabelecer padrões de cibersegurança mais rigorosos em indústrias fundamentais, a Diretiva NIS2 apresenta tanto uma oportunidade quanto uma obrigação para os fabricantes de PCB cumprirem padrões elevados de cibersegurança e criarem cadeias de suprimentos mais resilientes ao fazer isso.

Aqui estão alguns impactos específicos da diretiva nas cadeias de suprimentos de fabricação de PCB:

Meet US Government Security Requirements

Foster real-time collaboration with enhanced data security and access controls

Find Out More

Padrões de Cibersegurança Elevados

A diretiva NIS2 exige que os fabricantes de PCB atendam a um conjunto rigoroso de requisitos de cibersegurança, incluindo a criação e manutenção de frameworks de segurança robustos, desde avaliações regulares de vulnerabilidade até a implementação de autenticação multifator e protocolos de criptografia.

As organizações precisarão garantir que tenham mecanismos e orçamentos em lugar para identificar, avaliar e mitigar continuamente os riscos cibernéticos, um compromisso que pode exigir a contratação de pessoal dedicado à cibersegurança, investimento em ferramentas avançadas de detecção de ameaças e criação de centros de operações de segurança (SOCs) para monitorar a atividade da rede. Para aqueles que anteriormente alocavam recursos limitados para cibersegurança, é uma mudança que deve ser cuidadosamente planejada.

Visibilidade e Transparência da Cadeia de Suprimentos Aumentadas

O objetivo da diretiva de aumentar a segurança da cadeia de suprimentos exigirá maior transparência de fornecedores e parceiros e pode exigir que os fabricantes conduzam auditorias e avaliações de segurança em toda a cadeia de suprimentos para garantir a conformidade com os requisitos do NIS2.

Os fabricantes de PCB podem precisar que fornecedores terceirizados demonstrem suas práticas de segurança, algo que pode causar atrito com os fornecedores e levar a uma tomada de decisão mais estratégica para garantir a conformidade, especialmente se os fornecedores não estiverem dispostos ou não puderem atender aos padrões da diretiva.

Protocolos de Relatório de Incidentes Mais Rigorosos

Os fabricantes de PCB são obrigados a relatar incidentes significativos de cibersegurança às autoridades nacionais dentro de 24 horas e fornecer atualizações adicionais dentro de 72 horas. Como os fabricantes bem sabem, reduzir o tempo de ação minimiza impactos. Embora possa levantar preocupações sobre danos à reputação, o relatório de incidentes é essencial para limitar danos potenciais.

Make cents of your BOM

Free supply chain insights delivered to your inbox

Learn More

Para atender a esses requisitos de relatório, os fabricantes precisam de processos robustos de detecção, classificação e escalonamento de incidentes. Ter um plano de resposta a incidentes bem estruturado pode prevenir que violações se agravem e limitar o impacto na cadeia de suprimentos como um todo.

Responsabilidade Executiva e Cultura de Gestão de Riscos

Uma das mudanças mais impactantes da Diretiva NIS2 é a exigência de responsabilidade executiva na conformidade com a cibersegurança. Executivos de alto nível em empresas de fabricação de PCB agora devem ser informados e envolvidos nas estratégias de planejamento e resposta à cibersegurança.

Esta mudança sublinha a importância de incorporar a cibersegurança na estrutura de governança corporativa. Os executivos precisam ser educados sobre os riscos cibernéticos e incentivados a apoiar iniciativas de cibersegurança. Por sua vez, a diretiva enfatiza uma "cultura de cibersegurança", onde funcionários de todos os níveis são treinados em melhores práticas, conscientização sobre ameaças e comportamento digital seguro.

Penalidades e o Custo da Não Conformidade

Com penalidades de até €10 milhões ou 2% da receita global de uma empresa, as repercussões financeiras da não conformidade com a Diretiva NIS2 são pesadas, e para muitos fabricantes de PCBs, elas representam uma ameaça séria. As organizações podem enfrentar consequências severas por não cumprirem obrigações legais. As empresas devem adotar uma postura proativa que aproveite a oportunidade para se diferenciar e investir em conformidade não apenas como uma obrigação regulatória, mas como uma medida de economia de custos e de valorização da marca.

Além das multas, o dano à reputação pode ser substancial, especialmente para fabricantes que trabalham com clientes sensíveis ou de alto perfil. A não conformidade ou violações significativas de cibersegurança podem resultar em perda de confiança de consumidores e parceiros e, em última análise, arriscar sua viabilidade e crescimento a longo prazo.

Cloud Storage and Version Control

Store your libraries and design data in one secure, accessible, and version-controlled space.

Learn More

Como Cumprir a Diretiva NIS2

A conformidade com a Diretiva NIS2 requer planejamento estratégico e alocação de recursos. Aqui estão alguns passos que os fabricantes de PCBs devem considerar:

Realize Avaliações de Risco de Cibersegurança: Para ajudar a criar uma estratégia de cibersegurança direcionada e abordar primeiro as áreas de alto risco, comece com uma avaliação de risco de cibersegurança abrangente para identificar vulnerabilidades potenciais. 

Desenvolva uma Estratégia Robusta de Segurança da Cadeia de Suprimentos: Trabalhe em estreita colaboração com os fornecedores para avaliar suas práticas de cibersegurança e estabelecer um plano de ação para abordar quaisquer preocupações. Estabeleça obrigações contratuais para conformidade com padrões de cibersegurança e exija relatórios regulares sobre a postura de segurança.

Implemente Sistemas Avançados de Detecção de Incidentes e Resposta: Invista em sistemas que ofereçam detecção de ameaças em tempo real e sistemas de resposta. Estabeleça protocolos de resposta a incidentes que permitam uma ação rápida e conformidade com os requisitos de relatório.

Treine Executivos e Funcionários sobre as Melhores Práticas de Cibersegurança: Implemente um programa de treinamento robusto que envolva não apenas a equipe técnica, mas também executivos e todos os funcionários. Construir uma cultura "consciente da cibersegurança" pode reduzir erros humanos e reforçar a cibersegurança geral. Se você está procurando mais ajuda nesta área, O Fórum Econômico Mundial oferece um playbook para construir uma cultura de resiliência cibernética na manufatura.

Variant Manager

Meet demands of a globalized market that requires unique versions of your PCBs.

Learn More

Estabeleça Governança e Responsabilidade Claras: Nomeie um oficial de cibersegurança ou estabeleça uma equipe multifuncional responsável pela conformidade com a cibersegurança. Esta equipe deve relatar regularmente ao conselho executivo, fornecendo atualizações sobre conformidade, riscos e gestão de incidentes.

Uma Cadeia de Suprimentos de PCB Mais Resiliente e Segura

Embora a conformidade possa ser um obstáculo que requer um comprometimento substancial, investimento e adaptação, o lado positivo é uma cadeia de suprimentos de PCB mais transparente, segura e resiliente.

Para ajudar a colocar o esforço e os custos em perspectiva, o incidente na cadeia de suprimentos da Applied Material's em 2023 foi estimado em um custo para a empresa de $250 milhões.

A importância da cibersegurança nos tempos modernos não é subestimada por clientes e clientes e não deve ser comprometida pela sua cadeia de suprimentos. Ao abordar proativamente seus pontos de vulnerabilidade e garantir a conformidade com o NIS2, as empresas podem não apenas mitigar os riscos de interrupção, mas se diferenciar como parceiros confiáveis e de confiança que estão fazendo sua parte para garantir a estabilidade e segurança da cadeia de suprimentos global de PCB.