lista de perguntas questiona a segurança do nosso fornecedor de nuvem

A fornecedora de cloud enquadra-se na segurança da cadeia de abastecimento, não nas suas próprias medidas

Esta questão não diz respeito aos seus próprios sistemas, mas a uma fornecedora na sua cadeia. O artigo 21.º n.º 2 da NIS2 menciona explicitamente no ponto (d) "a segurança da cadeia de abastecimento, incluindo aspetos relacionados com a segurança relativos às relações entre cada entidade e os seus fornecedores ou prestadores de serviços diretos." A sua fornecedora de cloud é um desses prestadores de serviços diretos. O cliente não quer portanto saber se a cloud em si é segura — ninguém pode garantir isso — mas se, enquanto cliente, avaliou se essa fornecedora tem um nível de segurança suficiente, e se isso foi registado algures.

O comprovativo que aqui é geralmente pedido não é o seu próprio certificado ISO, mas o da própria fornecedora de cloud: uma declaração ISO/IEC 27001, um relatório SOC 2, ou uma referência aos acordos contratuais sobre proteção de dados. Se não o tem à mão, uma resposta "não, ainda não registado" é mais honesta do que um compromisso descuidado — especialmente porque requisitos de segurança para fornecedoras próprias aparece muitas vezes novamente de forma mais ampla na mesma lista de questões, e a inconsistência entre duas respostas destaca-se. Verifique também se a questão trata realmente de encriptação de dados na cloud — isso é frequentemente apresentado junto com "segurança da cloud", mas é uma medida subjacente diferente.

Fundamento: artigo 21.º n.º 2 alínea d, complementado com Anexo A da ISO 27001

A obrigação de avaliar fornecedoras e prestadores de serviços consta do artigo 21.º n.º 2 alínea d da NIS2 e volta a aparecer na Lei Holandesa de Cibersegurança assim que entrar em vigor em 15 de agosto de 2026. A ISO/IEC 27001 Anexo A desenvolve isto ainda mais nas medidas de controlo para relações com fornecedoras (categoria A.5.19 a A.5.23), que abordam especificamente a avaliação e monitorização de fornecedoras de cloud e serviços TI.