Pontos principais
- O Cyber Security and Resilience Bill do Reino Unido colocaria os provedores de serviços gerenciados qualificados dentro de um marco regulatório, na categoria de relevant managed service providers (RMSPs).
- Os RMSPs precisariam adotar medidas adequadas e proporcionais para gerenciar riscos de cibersegurança e reduzir incidentes que afetem os sistemas usados na prestação dos serviços gerenciados.
- As regras propostas para incidentes exigem uma notificação inicial em até 24 horas e um relatório mais completo em até 72 horas, com comunicação ao regulador e ao NCSC.
- Os requisitos propostos também incluem avisar os clientes quando um incidente cibernético qualificado provavelmente os afetar, para que possam tomar medidas de mitigação.
- A preparação do MSP deve focar em visibilidade de ativos, correção de vulnerabilidades, acesso privilegiado, capacidade de recuperação, detecção de incidentes e provas de que os controles de segurança funcionam de forma consistente.
- NinjaOne ajuda a gerar provas operacionais com inventário de endpoints, gerenciamento de patches e de vulnerabilidades, controles de acesso, backup, visibilidade de configuração e relatórios centralizados.
Pela primeira vez, os provedores de serviços gerenciados (MSPs) do Reino Unido estão prestes a se tornar entidades reguladas. Até agora, as obrigações de cibersegurança com que lidavam eram, na prática, dos clientes, e eram cumpridas porque um contrato ou um questionário de segurança assim exigia. O Cyber Security and Resilience Bill (Network and Information Systems) muda esse cenário.
Na redação atual, o projeto de lei coloca os MSPs diretamente sob regulação, com deveres legais próprios, e não herdados de um cliente. Se o seu negócio se conecta à rede do cliente para entregar gerenciamento, monitoramento ou suporte contínuo de TI, vale entender a regulação enquanto ainda há tempo de se preparar.
Neste artigo, explicamos o que é o projeto de lei, o que ele exigiria dos MSPs e como reunir provas antes que vire lei.
Reforce a segurança dos seus endpoints
O que é o Cyber Security and Resilience Bill do Reino Unido
O projeto é a atualização mais relevante da regulação cibernética britânica em quase uma década e amplia as NIS Regulations 2018. Depois da saída da União Europeia, o Reino Unido criou seu próprio marco em vez de adotar a NIS2 europeia. Por isso, os dois não são idênticos, mas têm semelhanças.
O texto amplia o alcance das regras para data centers, fornecedores críticos designados e provedores de serviços gerenciados. Os MSPs passam a ser “relevant managed service providers”, ou RMSPs, categoria que abrange qualquer provedor que gerencie, monitore ou dê suporte remoto aos sistemas de TI de um cliente.
A lógica por trás da inclusão dos MSPs é que eles costumam ter acesso privilegiado a centenas de ambientes de clientes ao mesmo tempo, o que os torna um ponto único a partir do qual atacantes podem alcançar muitas organizações. Trazer os MSPs para o escopo busca fechar essa brecha.
Em que fase está o projeto de lei
O projeto ainda não é lei. Chegou ao Committee Stage na Câmara dos Lordes. A sanção real é esperada para o fim de 2026 ou início de 2027, com aplicação em fases até 2028.
O que mudaria para o seu MSP
Na redação atual, a condição de RMSP deve trazer novos deveres:
- Regulação direta
- Seu MSP passaria a ser regulado, com o dever de se registrar junto ao regulador assim que entrar no escopo.
- Relato mais rápido
- Você teria de notificar o regulador e o NCSC sobre um incidente cibernético significativo em até 24 horas e, depois, enviar um relatório mais completo em até 72 horas.
- Aviso aos clientes
- Seria preciso informar os clientes afetados para que consigam se proteger.
- Padrão definido
- Seria necessário atender ao Cyber Assessment Framework (CAF) do NCSC, sendo o Cyber Essentials o caminho mais rápido para os cinco controles centrais: firewalls, configuração segura, controle de acesso, proteção contra malware e gerenciamento de patches.
- Multas atreladas ao faturamento
- As penalidades chegariam ao maior valor entre £10 milhões ou 2% do faturamento global em caso de infração padrão, e ao maior valor entre £17 milhões ou 4% em caso de infração grave ou repetida.
Os MSPs já aplicam patches, controlam acessos, fazem backup, mantêm inventário e registram incidentes para manter os clientes operando. O que o projeto acrescenta é a expectativa de uma cobertura contínua e demonstrável sempre que exigido.
Como os MSPs podem se preparar
Boa parte da preparação se resume a quatro disciplinas operacionais que você já conhece:
- Saiba o que você tem e o que está exposto. Mantenha um inventário que reflita o que está em execução em cada ambiente de cliente e documente os processos de correção de vulnerabilidades.
- Controle quem acessa o quê. Baseie o acesso privilegiado em funções, exija MFA e mantenha um registro auditável de quem teve acesso e quando ele terminou.
- Garanta a recuperação dos sistemas. Faça backup do que importa, inclusive dos dados em SaaS, e comprove que consegue restaurá-los.
- Esteja pronto para relatar. Monte o processo de logs, alertas e relatórios que permita documentar um incidente em um dia.
Coloque ordem no caos dos ativos de TI
Como NinjaOne ajuda
O CAF é baseado em resultados, e reguladores e seguradoras estão deixando a autodeclaração de lado em favor de uma cobertura de controles contínua e comprovável. Os MSPs não deveriam precisar de uma ferramenta de conformidade separada, acoplada ao conjunto de ferramentas de RMM/PSA.
As ferramentas nativas do NinjaOne se encaixam nos resultados do CAF e nos cinco controles do Cyber Essentials em que o projeto se apoia.
- Gerenciamento nativo de patches e vulnerabilidades
- Seu histórico de patches vira um registro contínuo e comprovável.
- Documentação dos endpoints
- Status dos patches, inventários de software, saúde dos dispositivos e linhas de base de configuração ficam em um só lugar.
- Controles de acesso baseados em funções
- Permissões granulares e logs de auditoria claros permitem verificar quem acessou quais sistemas e quando.
- Backup e recuperação
- NinjaOne Backup cobre endpoints, servidores e dados em SaaS, como o Microsoft 365, com registros de conclusão e validação de restauração.
- Relatórios prontos para auditoria
- Histórico de patches, estado da configuração e logs de acesso se juntam na trilha de provas sempre ativa que você mostra a um regulador ou cliente quando ele pedir.
A plataforma cuida da camada operacional onde boa parte das provas é criada, integrada às ferramentas que você já usa em vez de acoplada por fora.
Por que sair na frente do projeto de lei
O projeto ainda não é lei e o cronograma pode mudar, mas a direção geral está clara. Os MSPs que começarem a se preparar agora vão liderar a conversa sobre conformidade com os clientes, em vez de correr atrás do prejuízo.
