O TranscribIA e a Diretiva NIS2.
A Diretiva (UE) 2022/2555, conhecida como « NIS2 », reforça as obrigações de cibersegurança das entidades essenciais e importantes — incluindo administrações e entidades públicas. O TranscribIA, solução francesa de transcrição de áudio, foi concebido para organizações que precisam de integrar as suas ferramentas numa abordagem formal de gestão de riscos. Esta página descreve, sem exagerar as garantias, como as suas medidas técnicas verificáveis podem apoiar a sua conformidade.
Enquadramento europeu
A Diretiva NIS2 em breve
NIS2 designa a Diretiva (UE) 2022/2555 de 14 de dezembro de 2022, que revoga a Diretiva NIS inicial (UE) 2016/1148 e alarga o seu âmbito. Visa um nível comum elevado de cibersegurança na União e impõe obrigações reforçadas a certas entidades: gestão de riscos, medidas de segurança técnicas e organizativas, notificação de incidentes, responsabilidade dos órgãos de direção e segurança da cadeia de fornecimento.
Como qualquer diretiva europeia, a NIS2 é transposta para o direito nacional por cada Estado-Membro. Em França, as entidades abrangidas são designadas e reguladas pela legislação nacional de transposição; os limiares e as modalidades de designação dependem desse regime nacional. O TranscribIA não se pronuncia sobre os limiares exatos e convida cada organização a verificar o seu estatuto junto da autoridade nacional competente.
Os requisitos de segurança das entidades abrangidas organizam-se por temas: política de gestão de riscos, tratamento de incidentes e continuidade de atividade, segurança das redes e sistemas, criptografia, controlo de acesso e autenticação, higiene informática, qualificação e sensibilização, e segurança da cadeia de fornecimento.
Entidades públicas
Administração pública, autarquias e estabelecimentos públicos
A NIS2 alarga significativamente o âmbito do setor público face à NIS1. As entidades daadministração pública são expressamente abrangidas: o regime europeu visa as administrações centrais e, mediante avaliação de riscos, as administrações regionais. Os Estados-Membros também podem incluir administrações locais. O âmbito e a classificação de cada entidade devem ser verificados na legislação nacional aplicável junto da autoridade competente. Estas entidades devem implementar medidas adequadas e proporcionais ao risco, enquadrar a responsabilidade da direção e notificar incidentes significativos segundo um calendário preciso.
Para uma autarquia ou estabelecimento público, escolher uma ferramenta de transcrição implica poder justificar as medidas de segurança, a rastreabilidade e o controlo dos dados tratados — incluindo declarações de eleitos, funcionários ou utentes. O TranscribIA destina-se precisamente a este caso: tratamento soberano, isolado e auditável de gravações sensíveis.
Medidas técnicas
Controlos verificáveis, articulados com os requisitos NIS2
A compra de software não basta para estabelecer a conformidade NIS2 de uma organização. Alguns fornecedores podem também estar abrangidos pela diretiva; esta página não constitui uma certificação NIS2 do produto. Os controlos abaixo são apresentados como medidas técnicas que podem contribuir para a conformidade da sua organização, sob a sua responsabilidade e no âmbito da sua própria análise de riscos.
Alojamento soberano e instalação local
Governação, soberania e cadeia de fornecimento
- SaaS alojado em França (jurisdição francesa e da UE)
- Opção de instalação local na sua infraestrutura, sem saída de dados
- Sem transferências para fora da UE por predefinição
- Motores de IA configuráveis (cloud europeia ou modelos locais)
Encriptação de dados
Criptografia, em trânsito e em repouso
- TLS 1.2+ obrigatório, HTTPS em todas as ligações (em trânsito)
- Encriptação em repouso: disco NVMe e base PostgreSQL
- Cópias de segurança encriptadas com age (X25519 + ChaCha20-Poly1305)
- Segredos da aplicação protegidos (AES-256-CBC)
Autenticação forte e controlo de acesso
Autenticação multifator e privilégio mínimo
- 2FA TOTP conforme com a RFC 6238, ativação configurável por função
- RBAC com 5 níveis (princípio do privilégio mínimo)
- Confirmação adicional de palavra-passe para ações destrutivas
- Limitação de pedidos, CORS restrito e política CSP
Registos, auditoria e monitorização
Rastreabilidade e deteção de eventos
- activity_logs por organização + audit_logs da plataforma
- Rastreabilidade de todas as ações sensíveis, exportações CSV/JSON
- Monitorização ativa 24/7 (fila, disco, certificados, dependências)
- Alertas Slack/email e resumo diário
Gestão de incidentes e notificação
Tratamento de incidentes e obrigações de notificação
- Deteção: ClamAV nos carregamentos, monitorização e rasto de auditoria
- Processo de notificação documentado (alerta precoce, notificação, relatório final)
- Instantâneos antes do restauro (proteção contra substituição)
- Avaliação, contenção e documentação do incidente
Resiliência, recuperação de desastre e higiene
Continuidade de atividade, isolamento e atualização
- Cópias de segurança diárias encriptadas externas na UE (retenção de 90 / 30 dias)
- Objetivos RPO 24 h / RTO 4 h, exercício de recuperação validado, restauro granular
- Isolamento entre organizações: 1 esquema PostgreSQL por organização
- Atualização regular de componentes, dependências e assinaturas
Dois modos de implementação
Escolher o modo adequado à sua política NIS2
SaaS soberano (França)
Para autarquias e estabelecimentos que procuram um serviço gerido, soberano e rapidamente operacional.
- Alojamento em França, operado pela AMBASSADIA SARL
- Medidas de segurança aplicadas e supervisionadas pela editora
- Entrada em serviço imediata, DPA e documentação de conformidade prontos
- Adequado a organizações sem equipa de segurança dedicada a tempo inteiro
Instalação local (na sua infraestrutura)
Para entidades cuja política interna proíbe SaaS ou exige uma operação totalmente interna.
- Implementação Docker autónoma, sem saída de dados
- Controlo total do inventário e dos controlos pela entidade
- O responsável de segurança da entidade gere o reforço, os registos e as cópias de segurança
- Adequado a ambientes classificados ou com fortes exigências de segurança
Independentemente do modo, as obrigações NIS2 continuam a ser da entidade. Em modo instalação local, a responsabilidade operacional pelas medidas de segurança (reforço, monitorização, cópias de segurança e atualizações) cabe à sua organização; em modo SaaS soberano, a editora opera estes controlos e documenta-os para as suas auditorias.
Documentação e contacto
Para as suas direções de TI, responsáveis de segurança e compradores públicos
O dossiê completo de conformidade — registo de tratamentos, modelo de DPA, medidas de segurança, política de conservação, subcontratantes e diagramas de arquitetura — pode ser consultado publicamente, sem criar conta. A nossa equipa acompanha a análise NIS2 da sua organização.
Editora: AMBASSADIA SARL (Mónaco). Contacto de conformidade: contact@transcribia.eu.