devemos demonstrar que verificamos nossos fornecedores em cibersegurança, como faço

Segurança da cadeia de abastecimento: o que o artigo 21.º, n.º 2, alínea d) exige

O artigo 21.º, n.º 2, alínea d) da Diretiva NIS2 menciona a segurança da cadeia de abastecimento como uma das dez medidas obrigatórias, incluindo os aspetos de segurança das relações entre a entidade e os seus fornecedores diretos. Isto significa, na prática: deve ser capaz de demonstrar que, ao estabelecer e manter relações com fornecedores, avalia se esse fornecedor representa um risco para o seu próprio serviço. Uma política de fornecedores documentada com um mínimo de três componentes cobre geralmente isto: um critério de seleção antecipado (que requisitos estabelece para novos fornecedores), um teste periódico durante o período de vigência, e um procedimento de escalagem se um fornecedor comunicar um incidente. Isto é a mesma questão que o seu cliente lhe coloca sobre o risco da cadeia — está aqui a preencher basicamente a sua própria resposta, mas um nível mais abaixo na cadeia.

Que serve como prova depende da maturidade do seu processo. Uma cláusula contratual na qual o seu fornecedor se compromete com certos requisitos de segurança é um ponto de partida, mas não é um teste. Mais forte é um questionário que o próprio envia para os fornecedores, associado a um rótulo de risco simples (baixo/médio/elevado) com base naquilo que o fornecedor vê ou toca dos seus sistemas. Se não tem isto, então a resposta mais honesta é que ainda precisa de implementar o processo — não preencher "sim" numa cláusula contratual que não é relevante. Tenha em atenção: esta é uma questão separada de a sua própria empresa estar sujeita à Diretiva; mesmo que a sua empresa não esteja diretamente sujeita à NIS2, um cliente pode ainda assim solicitar-lhe isto através da obrigação de cadeia.

Onde isto vem: Diretiva e a lei neerlandesa

A obrigação consta do artigo 21.º, n.º 2, alínea d) da Diretiva (UE) 2022/2555; a Lei de Cibersegurança Neerlandesa transpõe isto para o direito holandês e entra em vigor em 15 de agosto de 2026. A ISO/IEC 27001 Anexo A contém uma medida de controlo semelhante sobre relações com fornecedores, o que explica por que razão os clientes com um questionário ISO muitas vezes colocam a mesma questão que os clientes que fazem referência à NIS2.