Ransomware: O regulamento NIS2 e o caminho para a recuperação — Parte 1

Um guia prático em duas partes para líderes de TI da região EMEA

No mundo interconectado de hoje, uma interrupção nas operações de uma empresa pode afetar a prestação de serviços essenciais de um país e até mesmo repercutir na economia em geral, como ficou evidente no caso do ataque cibernético à Jaguar Land Rover, que teve um impacto negativo no PIB do Reino Unido.

No cerne da NIS2 está o desejo de garantir a continuidade das operações. Ela incentiva as empresas a documentarem adequadamente seus processos, a se prepararem para imprevistos e a identificarem pontos fracos em suas cadeias de suprimentos.

É importante ressaltar que a NIS2 atribui a responsabilidade pela segurança cibernética e pela resiliência à diretoria, com possíveis sanções para os líderes empresariais. Em outras palavras, deixar a segurança exclusivamente a cargo do departamento de TI já não é suficiente.

Nesse sentido, reforçar a capacidade de responder a incidentes de segurança — e, principalmente, de se recuperar deles — deve constituir um elemento central da estratégia de segurança de qualquer empresa.

Na primeira parte deste guia, analisaremos sua preparação interna. Em seguida, na segunda parte, discutiremos como lidar com os diversos requisitos regulatórios de notificação em caso de um incidente. 

“O ransomware é a maior ameaça para as organizações na internet”

Essas palavras não são nossas. A afirmação vem do Centro de Cibersegurança da Bélgica, que informou que os ataques de ransomware mais do que dobraram entre 2021 e 2024.

O ransomware continua sendo uma das formas mais prejudiciais de ataque cibernético, incapacitando seus sistemas e prejudicando suas atividades, a menos que seja pago um resgate. Mesmo que sua empresa pague, a recuperação não é garantida. No entanto, nem todos os ataques são necessariamente destrutivos. Uma violação de dados, por exemplo, pode não afetar sua capacidade de manter as atividades normais, mas os danos à reputação e as possíveis penalidades financeiras podem ter consequências significativas a longo prazo.

A verdade é que, por mais que você proteja sua empresa, sempre haverá algum nível de risco — e esse risco está presente 24 horas por dia, 7 dias por semana, 365 dias por ano, mesmo quando sua equipe está desconectada.

Elabore seu plano de recuperação — e certifique-se de que ele funcione

Em nosso artigo “Dominando a recuperação moderna: novos fundamentos para gestores de TI”, abordamos os três princípios básicos do planejamento de recuperação de desastres: 

• Avaliar riscos e identificar sistemas críticos. Uma avaliação de riscos minuciosa ajuda a identificar os sistemas mais críticos que exigem atenção imediata durante um cenário de desastre e contribui para priorizá-los de acordo com sua importância para as operações comerciais.
• Crie um plano de recuperação passo a passo. Elabore procedimentos de recuperação para diferentes cenários de desastre, incluindo ataques cibernéticos, desastres naturais ou falhas de hardware. Cada cenário deve ter um plano de recuperação claro e detalhado, com responsabilidades bem definidas.
• Teste e mantenha o plano. Umplano de recuperação só é eficaz se for bem executado. Testes, atualizações e auditorias regulares são essenciais para garantir a viabilidade a longo prazo e a adaptação às ameaças em constante evolução, às novas tecnologias e às mudanças na infraestrutura.

A boa notícia é que quem segue essa abordagem já está bem posicionado para cumprir alguns requisitos da NIS2, como análise de riscos e segurança da informação, tratamento de incidentes e medidas de continuidade de negócios.

Se você está tendo dificuldade para obter o apoio da alta direção, alinhar suas metas de TI com os objetivos da NIS2 é uma boa maneira de destacar a importância de um planejamento adequado de recuperação de desastres.

Os backups são uma parte essencial da conformidade com a NIS2

A abordagem amplamente aceita para estratégias de backup tem seguido tradicionalmente a regra 3-2-1:

• 3 cópias dos dados (para proteção contra perda de dados)
• 2 formatos diferentes (armazenados em pelo menos dois tipos de mídia)
• 1 cópia externa (para proteção contra desastres físicos)

No entanto, recomenda-se agora adotar mais duas medidas para garantir a verdadeira eficácia do backup: 

• 1 cópia imutável (garantindo backups à prova de ransomware)
• Não tenho dúvidas de que você conseguirá recuperar os dados (testes regulares garantem a confiabilidade)

A importância dos backups imutáveis ficou bem clara em abril de 2026, quando um agente de IA não só apagou todo o banco de dados de clientes de uma empresa, mas também os backups recentes, afetando os clientes por dias e virando manchete na imprensa internacional.

Isso mostra como é fundamental acertar: é uma questão de continuidade dos negócios, conformidade regulatória — e de evitar que sua empresa apareça nas manchetes.

Garantindo a confiança na recuperação

A NIS2 destaca a necessidade de políticas que avaliem a eficácia operacional. Não basta apenas ter backups. É preciso ter certeza de que você é capaz de restaurar os sistemas e colocar sua empresa de volta em operação rapidamente.

Embora seja recomendável realizar testes de recuperação de desastres regularmente, isso pode ser complementado por ferramentas que oferecem testes automatizados de backups.

Quando monitoradas e relatadas em conjunto com métricas como RPO e RTO, essas funcionalidades proporcionam maior confiança na sua postura de backup e também demonstram o nível de relatórios exigido.

Não faça backup de dados corrompidos

A possibilidade de um ransomware se infiltrar em seus backups é motivo de preocupação. Também é importante avaliar o estado dos dados que você está copiando.

Como parte da automação do seu backup, você pode usar o aprendizado de máquina para identificar comportamentos que indiquem uma infecção por ransomware. Ao executar e analisar continuamente cada backup, o sistema pode detectar backups infectados e resolver a questão antes que ela se torne um problema.

Certifique-se de que seus backups estejam adequados à região

Seus dados não são acessíveis em todo o mundo. Diferentes regiões têm leis de soberania distintas; por isso, é importante saber onde os backups são armazenados e se podem ser restaurados legalmente a partir desse território. Regulamentações como o GDPR continuam a ser aplicadas durante as operações de recuperação; portanto, é importante garantir que as ferramentas utilizadas e a localização dos seus dados continuem em conformidade.

Cumprimento das suas exigências regulatórias

A Kaseya oferece tranquilidade às empresas, garantindo que seus dados valiosos estejam seguros, em conformidade com as normas e, acima de tudo, possam ser recuperados. Leia nosso guia para dominar as técnicas modernas de recuperação e saiba mais sobre como criar uma estratégia de recuperação resiliente.

Mas o planejamento de recuperação é apenas parte da equação. Durante um incidente de segurança, as organizações também precisam cumprir suas obrigações legais e regulatórias de notificação. Na segunda parte, abordaremos a NIS2 e o GDPR, bem como os diversos requisitos de notificação na região EMEA.