devemos colocar as mesmas questões de cibersegurança aos nossos próprios fornecedores

Sim, porque o artigo 21.º, n.º 2 obriga-o expressamente

Sim, na maioria dos casos é necessário. O artigo 21.º, n.º 2 da Diretiva NIS2 especifica dez medidas que uma entidade deve adotar, e o ponto (d) aborda especificamente a segurança da cadeia de abastecimento — incluindo a relação com e entre cada fornecedor ou prestador de serviços. Se o seu cliente coloca questões sobre a segurança da cadeia, então não é suficiente demonstrar o que você faz. Também deve ser capaz de demonstrar o que exige dos seus próprios subcontratados e como controla isso.

Na prática, isto significa geralmente uma abordagem em camadas, não uma cópia de toda a lista de questões do seu cliente. Do seu lado, coloque geralmente: o subcontratado tem as medidas básicas em ordem (acesso, cópias de segurança, tratamento de incidentes), existe uma disposição contratual sobre obrigação de notificação em caso de incidente, e — para fornecedores críticos — existe prova tal como um certificado ISO 27001 ou uma declaração própria. Quanto maior o peso do subcontratado na sua prestação de serviços ao cliente, mais específicos são os requisitos que pode transmitir. Esta é a mesma questão que o seu cliente lhe coloca agora sobre requisitos de segurança para fornecedoras próprias — encontra-se aqui no meio da cadeia, não no início.

Onde consta na directiva e na norma

A obrigação em si consta do artigo 21.º, n.º 2, alínea (d) da Diretiva NIS2, que menciona a segurança da cadeia como uma das dez medidas obrigatórias. Para a prática holandesa, isto traduz-se na Lei de Cibersegurança, a transposição da NIS2 que entra em vigor em 15 de agosto de 2026 — a partir dessa data, a obrigação também se aplica formalmente de acordo com a lei holandesa para as entidades abrangidas pela lei. Quem puder demonstrar que isto está sistematicamente organizado, refere-se frequentemente ao Anexo A da ISO/IEC 27001, onde as relações com fornecedores e a segurança na cadeia de abastecimento estão incluídas como medidas de controlo separadas. Se a sua empresa está ou não abrangida pela Diretiva NIS2 como entidade é, aliás, uma questão separada que é independente do que o seu cliente contratualmente exige de si; essa diferença é tratada em a questão de saber se a empresa está abrangida pela diretiva.