cliente pergunta como estamos protegidos contra ataques através dos nossos fornecedores

Esta pergunta diz respeito ao artigo 21.º, n.º 2, alínea d), não à sua política de segurança completa

Esta pergunta incide especificamente sobre a segurança da cadeia de abastecimento: o que faz para evitar que uma fraqueza no seu fornecedor possibilite um ataque na sua organização. Esta é uma das dez medidas do artigo 21.º, n.º 2 da NIS2, juntamente com, entre outros, análise de riscos, tratamento de incidentes e criptografia. O questionador não quer, portanto, saber como os seus próprios sistemas estão protegidos — essa é uma pergunta diferente na lista — mas como mantém controlo dos riscos que chegam através de terceiros.

As provas concretas para isto consistem geralmente em três elementos: uma avaliação de fornecedor antes da celebração de um contrato, requisitos de segurança estabelecidos contratualmente (pense numa acordo de tratamento de dados ou num anexo de segurança separado), e um panorama de quais os fornecedores que têm acesso a quais sistemas ou dados. Se não tem isto, então "não" é a resposta honesta — uma lista de fornecedores sem requisitos subjacentes não é prova de controlo. Se quer aprofundar o que o cliente realmente quer dizer com esta pergunta, ajuda ver se a organização estabelece requisitos de segurança para os seus próprios fornecedores é desenvolvido separadamente no dossier da cadeia, independentemente de si mesmo estar abrangido pela diretiva.

Se tem certificação ISO 27001, a resposta está frequentemente pronta: o Anexo A contém uma medida de controlo específica para relações com fornecedores (A.5.19 a A.5.22 na versão de 2022), e um auditor já terá verificado isto. Sem certificado, a resposta não é automaticamente "não" — trata-se do que realmente faz, não do selo. Em caso de dúvida, verifique se a organização possui certificação ISO 27001 já foi registado no dossier, que poupa trabalho de investigação nesta pergunta.

Origem disto: artigo 21.º, n.º 2, alínea d) da NIS2

O artigo 21.º, n.º 2, alínea d) da Diretiva (UE) 2022/2555 menciona expressamente "a segurança da cadeia de abastecimento" como parte obrigatória da gestão de riscos, incluindo a relação com fornecedores individuais. A Lei da Segurança Cibernética incorpora esta obrigação assim que entra em vigor; até essa data, a pergunta já pode aparecer porque o cliente está ele próprio já abrangido pela diretiva e a transmite na cadeia, mesmo que o cliente não seja uma entidade NIS2.