eles perguntam quem tem acesso aos dados deles

Política de acesso, não uma lista de nomes

O cliente geralmente não quer saber aqui qual pessoa individual faz login, mas se existe um sistema que regula quem pode aceder a quê. Isso se enquadra na gestão de acesso: quem tem acesso a quais sistemas e dados, com base em qual função, e como esse acesso é concedido e revogado. A resposta consiste, portanto, em duas partes: a política (como o acesso é concedido, revisto, revogado na rescisão) e a prática (trabalha-se com direitos baseados em funções, princípio do menor privilégio, verificação periódica de quem ainda tem acesso).

Se não houver um documento de política de acesso separado, mas a prática estiver em ordem — por exemplo, funções num sistema, um processo fixo na admissão e rescisão — isso geralmente é suficiente para responder "sim", desde que também seja realmente demonstrável. Se faltarem ambas, então "não" é a resposta honesta; uma questão sobre isso não deve ser sugerida como "sim" sem que haja uma fonte no dossiê da cadeia. Questões relacionadas na mesma lista muitas vezes abordam autenticação multifator para sistemas empresariais e sobre a política de análise de risco e segurança dos sistemas de informação — as duas estão relacionadas em termos de conteúdo, pois o acesso é geralmente uma das medidas de controlo que resultam da análise de risco.

Rastreável até artigo 21.º parágrafo 2.º e Anexo A

A gestão de acesso é uma das dez medidas do artigo 21.º, n.º 2 da Diretiva NIS2 (Diretiva (UE) 2022/2555): menciona explicitamente a política de controlo de acesso e a gestão de ativos empresariais como parte obrigatória da gestão de risco. Na ISO/IEC 27001, isso é refletido nas medidas de controlo do Anexo A, na categoria de controlo de acesso. Os clientes que passarão a estar sujeitos à Lei de Cibersegurança — a transposição holandesa da NIS2, que entra em vigor em 15 de agosto de 2026 — portanto, colocam cada vez mais esta questão como padrão aos seus fornecedores, mesmo que eles próprios ainda não tenham sido designados como entidade sob a diretiva.