lista de perguntas questiona como gerenciamos os riscos dos nossos fornecedores

Segurança em cadeia é uma das dez medidas obrigatórias

Isto não é apenas mais uma pergunta: a proteção da cadeia de abastecimento é mencionada como componente separado no artigo 21.º, n.º 2 da NIS2, além das outras nove medidas como análise de risco, tratamento de incidentes e controlo de acesso. O cliente que faz esta pergunta verifica se a sua empresa também olha para trás: não apenas a sua própria segurança, mas também a das partes de que depende. Isto está em linha com requisitos de segurança que a empresa estabelece aos seus fornecedores — o mesmo princípio, um passo à frente na cadeia.

Concretamente, normalmente são solicitadas três coisas: tem uma política ou processo para avaliar fornecedores quanto ao risco cibernético, estabelece requisitos contratuais (pense em obrigação de notificação em caso de incidentes, níveis mínimos de segurança), e continua a monitorizar após a assinatura do contrato. Se não tem este processo, uma resposta «não» com uma breve explicação é uma boa resposta — melhor do que um «sim» que não pode ser fundamentado. Se tem uma avaliação de fornecedores mas sem um capítulo separado sobre cibersegurança, indique exatamente assim: a prova deve corresponder ao que preenche. Um certificado ISO 27001 com Anexo A normalmente cobre este tema, portanto se a empresa está certificada segundo a ISO 27001 é frequentemente o documento de prova mais rápido de fornecer.

Origem desta informação: artigo 21.º, n.º 2 e Anexo A

As dez medidas do artigo 21.º, n.º 2 da NIS2 mencionam a segurança em cadeia como ponto separado, distinto da análise geral de risco. A norma ISO/IEC 27001 desenvolve isto mais detalhadamente nas medidas de controlo do Anexo A, especificamente focadas em relações com fornecedores e nos requisitos que lhes estabelece. A Lei de Cibersegurança transpõe esta obrigação para a legislação nacional e entra em vigor em 15 de agosto de 2026 — por enquanto, a diretiva da UE em si é a fonte, e o cliente muitas vezes já pergunta em antecipação a isto.