nosso cliente está sujeito à NIS2 e agora estabelece exigências para nós, o que significa

O seu cliente transmite-lhe as dez medidas do artigo 21º

Isto significa que passa a fazer parte da abordagem de cadeia de valor que o artigo 21º, n.º 2, da NIS2 prescreve. Uma entidade sujeita à NIS2 tem de tomar ela própria "medidas de segurança na cadeia de abastecimento" — alínea (d) desse número — e o seu cliente faz isso transmitindo-lhe também os requisitos que estabelece para si próprio. Portanto, não se torna obrigatoriamente sujeito à NIS2 por causa deste questionário; recebe o impacto da obrigação do seu cliente no seu departamento. Se está, além disso, sujeito à diretiva, é uma questão separada — que responde independentemente, por exemplo, com a explicação sobre se a empresa está ou não sujeita à directiva NIS2.

Na prática, o questionário traduz o artigo 21º, n.º 2, em questões individuais: tem análise de riscos e política de segurança da informação, como trata incidentes, como funciona as cópias de segurança e recuperação, como gere o acesso e utiliza autenticação multifator, e — a disposição que o seu cliente lhe está agora a aplicar — estabelece também requisitos aos seus próprios fornecedores. Para cada um destes pontos existe uma explicação separada na base de conhecimento, como política de análise de riscos e segurança de sistemas de informação e requisitos de segurança aos fornecedores próprios. Se já possui um certificado ISO 27001, isso cobre uma grande parte destas questões de uma só vez.

Onde consta na diretiva: artigo 21.º, n.º 2

O artigo 21º, n.º 2, da Diretiva (UE) 2022/2555 menciona explicitamente as dez medidas, desde a política de análise de riscos (a) até à segurança na aquisição de produtos e serviços e na relação com fornecedores (d), até à gestão de acesso e autenticação multifator (j). A Lei de Cibersegurança holandesa transpõe esta diretiva para a legislação nacional e entra em vigor em 15 de agosto de 2026; até essa data, o seu cliente já pode transferir-lhe a sua própria preparação, mesmo que a lei ainda não esteja em vigor. Quem reconhece as dez medidas como controlos separados da Annex A da ISO/IEC 27001, pode tomar muitas respostas diretamente de um ISMS existente.