a lista de questões pergunta sobre riscos na nossa cadeia de fornecimento, o que significa

Os riscos na cadeia de abastecimento são a segurança dos seus próprios fornecedores

Os riscos na cadeia de abastecimento referem-se aos fornecedores e prestadores de serviços que contrata, e se constituem uma falha na segurança do seu cliente. A pergunta não surge do nada: é uma medida literal do artigo 21.º, n.º 2, alínea d) da NIS2, que aborda explicitamente a segurança da cadeia de abastecimento, incluindo a relação com fornecedores. O seu cliente deve poder demonstrar que colocou esta questão aos seus próprios fornecedores — ou seja, a si — razão pela qual a pergunta consta da lista.

Na prática, estão a ser colocadas duas coisas em simultâneo. Uma: tem visibilidade dos riscos que os seus fornecedores críticos (alojamento, software, gestão de TI) comportam? Duas: estabelece requisitos para esses fornecedores, contratualmente ou de outra forma? Esta segunda questão sobrepõe-se a a questão de saber se os seus próprios fornecedores devem cumprir requisitos de segurança — frequentemente, é literalmente a mesma pergunta com uma formulação diferente, portanto verifique primeiro se já respondeu a essa questão. Se não tem uma política formal de fornecedores, um honesto "ainda não" é mais preciso do que uma resposta que promete mais do que existe.

Remonta ao artigo 21.º, n.º 2, alínea d) da NIS2

Esta pergunta decorre diretamente das dez medidas do artigo 21.º, n.º 2 da Diretiva (UE) 2022/2555, na qual a segurança da cadeia de abastecimento figura como uma seção separada (alínea d), ao lado da análise de riscos e da resposta a incidentes. Na Lei de Cibersegurança, a transposição neerlandesa que entra em vigor em 15 de agosto de 2026, esta medida reaparece para as entidades abrangidas pela lei. Quem trabalha com ISO/IEC 27001 reconhece o mesmo requisito no Anexo A entre as medidas de controlo das relações com fornecedores. Se a sua empresa também se enquadra no âmbito dessa obrigação depende de se a empresa como entidade se enquadra no âmbito da NIS2 ou da transposição nacional — isto determina se é uma obrigação para si ou apenas uma pergunta que o seu cliente lhe encaminha.