o meu cliente envia um extenso questionário NIS2 enquanto que antes não era assim o que faço com isto

O seu cliente está a transferir a sua obrigação de cadeia

Isto significa geralmente que o seu cliente está ele próprio sujeito à Lei de Cibersegurança, e que, como entidade essencial ou importante, é obrigado a avaliar a segurança dos seus próprios fornecedores. Essa obrigação decorre das dez medidas do artigo 21.º, n.º 2 da Diretiva NIS2, e uma delas aborda especificamente a segurança da cadeia: a organização deve conhecer o nível de segurança dos seus fornecedores e deve poder demonstrá-lo. O seu cliente não está, portanto, simplesmente a fazer passar adiante o questionário — ele próprio está obrigado a fazê-lo, e nesse momento é parte da sua "cadeia". Daí que a lista chegue agora, ainda que tenha fornecido há anos sem que isto fosse alguma vez pedido: a obrigação é nova para ele, não para a sua relação.

O que pode esperar é uma combinação de perguntas que se relacionam anteriormente com a política de acesso e a gestão de ativos perguntas sobre o procedimento em caso de incidente de segurança e perguntas sobre capacidade de recuperação após uma perturbação. Se não possui uma certificação ISO 27001, isso por si só geralmente não é um problema — a diretiva não exige que cada fornecedor seja certificado, exige que o cliente saiba como está a sua situação. Uma descrição das suas próprias medidas, com documentos comprovativos quando os tiver, é então uma resposta válida. Quando não tem nada, responde que não tem nada; uma lista com apenas "sim" sem documentação subjacente cria mais risco numa auditoria posterior do seu cliente do que uma resposta honesta de "não, ainda não".

Porquê isto chega a si agora: artigo 21.º, n.º 2

A obrigação de avaliar fornecedores está consagrada no artigo 21.º, n.º 2 da Diretiva (UE) 2022/2555, e é regulamentada para as entidades holandesas na Lei de Cibersegurança, que entra em vigor em 15 de agosto de 2026. Se o seu cliente está ele próprio sujeito a essa lei, e portanto obrigado a colocar estas questões, pode normalmente verificar através da dimensão e setor da sua empresa — algo que também é relevante para saber se está ele próprio sujeito à diretiva como entidade.