quem na nossa empresa pode consultar ou alterar o dossier da cadeia

Funções e direitos, não uma única conta para todos

Quem pode ver ou alterar o dossiê da cadeia é decidido pela própria organização: não é um papel legal, mas uma configuração do sistema. Na prática, funciona com funções: um administrador que pode modificar campos e vincular fontes, e colegas que apenas podem ler ou apenas podem completar uma parte específica — por exemplo, TI para perguntas sobre segurança da informação, e financeiro para dados de receita. Desta forma, nem todos precisam ter acesso a tudo, e fica claro quem inseriu ou confirmou cada resposta.

Essa distinção é comparável ao que Os serviços online da empresa cumprem os requisitos de acessibilidade? e outros componentes técnicos pedem: nem todo funcionário tem conhecimento suficiente para avaliar uma resposta. A mesma lógica se aplica a campos sensíveis como A empresa utiliza sistemas de IA no âmbito da sua prestação de serviços? — aí você quer que a pessoa que confirme a resposta também entenda o que a pergunta está pedindo. Quem finalmente clica em "sim" ou "não" em um questionário continua sendo uma escolha da própria organização; o sistema apenas registra quem fez isso e quando.

Por que a divisão de funções é relevante

Essa divisão não decorre de um artigo legal específico, mas da natureza das exigências subjacentes em si. As dez medidas do artigo 21º, nº 2 da Diretiva NIS2 mencionam explicitamente o controle de acesso como medida de segurança, e o Anexo A da ISO/IEC 27001 desenvolve isso com controles concretos sobre quem pode ver ou modificar quais dados. Um dossiê da cadeia que contém respostas a este tipo de questionário fica sob a mesma lógica: não porque a lei prescreva a plataforma, mas porque os próprios questionários frequentemente perguntam como o acesso aos dados da empresa é regulado. A divisão de funções no dossiê é, portanto, um reflexo prático do que já é pedido nesses requisitos, não uma obrigação separada.