o questionário pergunta como controlamos a cibersegurança de nossos próprios fornecedores

Segurança da cadeia: o que o cliente quer saber exatamente

Esta pergunta diz respeito ao artigo 21.º, n.º 2, alínea d) da NIS2: a segurança da cadeia de abastecimento, incluindo a relação com cada fornecedor individual. O cliente não quer saber se você próprio é seguro, mas sim se você exige e controla isso também dos seus fornecedores. Concretamente, a lista de verificação geralmente procura três coisas: incluiu requisitos de segurança em contratos com fornecedores, avalia fornecedores antes de os contratar e reavalia-os periodicamente. Uma resposta como "confiamos nos nossos fornecedores" não é prova para este campo — tem de haver um processo por trás.

Se tiver esse processo, o comprovativo é geralmente uma política de fornecedores ou uma cláusula no contrato padrão, possivelmente complementada com um resumo das avaliações realizadas. Se não tiver, então "não" é aqui a resposta honesta — preencher com base numa suposição não dá um sim, porque o dossiê não tem fonte para isso. Este tema está aliás relacionado com outro campo no mesmo questionário: se a empresa estabelece requisitos de segurança aos seus próprios fornecedores é frequentemente uma pergunta em separado, mas a prova sobrepõe-se com o que aqui é perguntado. Também é relevante se a sua própria análise de risco considera os fornecedores como categoria de risco separada; isso alinha-se com a política para análise de risco e segurança da informação que é perguntada em outro local da lista.

Fundamento: artigo 21.º, n.º 2) e Anexo A

A obrigação resulta do artigo 21.º, n.º 2, alínea d) da Diretiva (UE) 2022/2555, que menciona a segurança da cadeia como uma das dez medidas obrigatórias. ISO/IEC 27001 desenvolve isto no Anexo A, nas medidas de controlo para relações com fornecedores: distingue entre requisitos no início da relação e monitorização periódica. Para empresas holandesas, a mesma obrigação aparece na Lei de Cibersegurança, que entra em vigor em 15 de agosto de 2026 como transposição da NIS2. Se esta obrigação se aplica à sua empresa depende de você estar abrangido pela diretiva; essa é uma pergunta diferente da que aqui é colocada e está explicada separadamente em se a empresa está abrangida pela NIS2.