cliente quer que assinemos uma declaração sobre segurança posso fazer isso assim

Assinar é permitido, mas leia o que está escrito

Sim, um cliente pode pedir isso — uma declaração de segurança não é uma obrigação legal, mas uma exigência contratual, e o cliente tem liberdade para estabelecê-la. A questão não é se ele pode pedir, mas se a declaração cobre o que vocês realmente fazem. Uma assinatura sob "cumprimos as dez medidas do artigo 21.º parágrafo 2.º da NIS2" ou sob "somos conformes à ISO 27001" é um compromisso com valor contratual, não uma marcação numa lista de verificação. Se surgir uma disputa — um incidente no cliente que remontar a vocês — essa declaração é o primeiro documento que será consultado.

Portanto, verifique primeiro o formato. A declaração pede um sim/não por medida, ou é uma única declaração em branco "estamos em conformidade com a NIS2"? A primeira pode ser fundamentada ponto a ponto; a segunda é frequentemente mais abrangente do que o que pode ser comprovado, especialmente se você não está sujeito à diretiva mas sim como fornecedor de uma entidade que está sujeita — se a empresa está ou não sujeita à directiva NIS2 é então a primeira pergunta que responde a si próprio. Nunca assine uma afirmação sobre uma medida que não consegue demonstrar, por exemplo se existe um processo para identificar vulnerabilidades — se não tem isso, então escreve isso ou pede uma versão especificada.

De onde vem a responsabilidade

A declaração em si não tira seu peso da Lei de Cibersegurança — que obriga apenas as entidades designadas em si, não diretamente seus fornecedores — mas do contrato que assina. A NIS2 funciona através do artigo 21.º parágrafo 2.º, que obriga as entidades a gerir riscos na cadeia de abastecimento; essa é a razão pela qual essa entidade lhe pergunta isso, não é a razão pela qual você está vinculado. O que se compromete está portanto no texto da própria declaração, não na diretiva.