pedem-nos a nossa política de segurança completa como documento

Compartilhar o documento de política completo geralmente não é necessário

Não, na maioria dos casos não é necessário, e também não é o que o cliente realmente quer saber. Uma pergunta como "envie sua política de segurança" é quase sempre uma tradução de algo mais específico: o cliente quer saber se existe política para análise de risco, se há um procedimento de incidente, ou se o acesso está bem regulado. Essas são as dez medidas do artigo 21.º, n.º 2 da NIS2, e a mesma subdivisão pode ser encontrada nas medidas de controlo do Anexo A da ISO/IEC 27001. Um questionário que solicita "política completa" geralmente ainda a divide em subquestões — portanto, verifique primeiro se esse é o caso antes de fazer upload de um documento completo.

O risco de enviar um documento de política completo não é jurídico, mas prático: geralmente contém mais do que o cliente precisa — nomes de ferramentas, procedimentos internos, dados de contacto do pessoal. Quem preferir responder por pergunta em vez de partilhar um documento pode usar o botão de confidencialidade para limitar ao que foi realmente solicitado. Se a pergunta se referir a um tópico específico, a resposta geralmente já pode ser encontrada em outro lugar: ou a política de acesso está documentada, ou existe um procedimento para incidentes, ou é periodicamente testado. Isso geralmente é mais concreto responder do que com um documento completo.

Onde isto decorre: artigo 21.º n.º 2 e Anexo A

O artigo 21.º, n.º 2 da NIS2 menciona dez medidas concretas — análise de risco, tratamento de incidentes, continuidade de negócios, gestão de vulnerabilidades, política de acesso e mais — sem exigir que uma terceira parte veja o documento subjacente. A ISO/IEC 27001 Anexo A funciona com a mesma lógica: as medidas de controlo são auditáveis por componente, não como um documento de política indivisível. Tenha também em conta que a questão de saber se a própria empresa está abrangida pela NIS2 ou pela transposição nacional é independente do que um cliente solicita num questionário — essas duas coisas são frequentemente confundidas.