cliente quer saber se o nosso serviço em cloud está suficientemente protegido o que respondo

Fornecedor de cloud enquadra-se na política de segurança da cadeia, não numa caixa separada

Esta pergunta quase nunca é um simples sim/não. O cliente está a perguntar se a vossa gestão de fornecedores também se aplica ao vosso fornecedor de cloud, e isso enquadra-se em requisitos de segurança para fornecedoras próprias — alínea (d) das dez medidas do artigo 21.º, n.º 2 da Diretiva NIS2. A resposta consiste assim em duas camadas: a empresa tem uma política de fornecedores, e o fornecedor de cloud foi concretamente avaliado em conformidade. Um "sim" apenas na primeira camada, sem que o fornecedor de cloud tenha sido avaliado, é uma meia verdade que ressurgirá numa auditoria.

O que conta como prova varia consoante a maturidade do dossiê. Se o fornecedor de cloud tem um certificado ISO 27001 ou um relatório SOC 2, essa é a peça mais forte — coloque-a lado a lado com a pergunta se a própria empresa é certificada ISO 27001, pois são dois certificados separados que não devem ser confundidos na resposta. Caso não haja certificado, um acordo de processamento com anexo de segurança, ou uma avaliação de fornecedor com data, é a segunda melhor prova. Sem um deles, "não" ou "em curso" é a resposta correta, mesmo que o fornecedor de cloud seja provavelmente bem seguro — a probabilidade não é uma peça de prova.

Conforme decorre: artigo 21.º, n.º 2, alínea d e Anexo A.15

A obrigação de avaliar fornecedores e prestadores de serviços em matéria de segurança está indicada por nome no artigo 21.º, n.º 2, alínea d da Diretiva NIS2, como uma das dez medidas que uma entidade deve tomar. A norma ISO/IEC 27001 desenvolve isto no Anexo A, sob as medidas de controlo para relações com fornecedores. Nos Países Baixos, isto funcionará em breve através da Lei de Cibersegurança, a transposição nacional da NIS2 que entra em vigor em 15 de agosto de 2026 — até essa data, a diretiva em si é o texto a que se deve fazer referência. Se tem dúvidas sobre se já é uma obrigação para a sua própria empresa e não apenas uma pergunta de um cliente, consulte se a empresa está ou não sujeita à directiva NIS2.