a lista de questões pergunta como controlamos a segurança dos nossos fornecedores

Segurança da cadeia de abastecimento: o seu cliente questiona sobre os seus próprios fornecedores

Esta questão abrange o artigo 21.º, n.º 2, alínea d) da NIS2: segurança da cadeia de abastecimento, incluindo a relação com cada fornecedor direto ou prestador de serviços. O seu cliente quer portanto saber não apenas como está protegido, mas também como o impõe nos seus subcontratados. Concretamente, é geralmente perguntado se incluir requisitos de segurança nos contratos, se avalia fornecedores previamente, e se verifica periodicamente se cumprem esses requisitos.

Se ainda não formalizou este processo, a resposta mais honesta é que o faz informalmente — por exemplo, através de cláusulas contratuais sem avaliação estruturada — ou que ainda não o faz. Preencher com "sim" porque parece lógico não ajuda: se o seu cliente pedir um contrato de exemplo ou uma lista de fornecedores com pontuação de risco, esses documentos têm de estar lá. A mesma questão surge frequentemente numa forma ligeiramente diferente, nomeadamente se a organização estabelece requisitos de segurança para os seus próprios fornecedores — é essencialmente a mesma obrigação, mas separada da questão contratual. Por isso, é útil formular uma resposta que possa reutilizar em múltiplas listas.

Origem: artigo 21.º, n.º 2 e Anexo A.5.19-21

A base legal é o artigo 21.º, n.º 2, alínea d) da Diretiva NIS2, uma das dez medidas obrigatórias mencionadas lá. Na prática neerlandesa, isto figura na Lei de Cibersegurança, a transposição da NIS2 que entra em vigor em 15 de agosto de 2026 — a pergunta do seu cliente vai portanto muitas vezes além do que lhe será obrigatório mais tarde, a menos que já esteja abrangido pela diretiva através de a definição de entidade sob NIS2. Quem aplica a norma ISO/IEC 27001 reconhece a mesma obrigação no Anexo A, as medidas de controlo sob A.5.19 a A.5.21 sobre relações com fornecedores e os requisitos de segurança estabelecidos neles. Ambas as fontes pedem essencialmente o mesmo: não apenas saber quem são os seus fornecedores, mas demonstrar que monitora o seu nível de segurança.