questionário pergunta como mapeamos riscos em nossa cadeia de suprimentos

Os riscos da cadeia tocam duas perguntas diferentes

A pergunta sobre riscos da cadeia de abastecimento pergunta na prática por duas coisas ao mesmo tempo, e o questionário muitas vezes não faz essa distinção explicitamente. Em primeiro lugar: a empresa tem visibilidade dos riscos que entram através de seus próprios fornecedores e prestadores de serviços — pense em um fornecedor de TI com acesso à rede, ou um componente de software de terceiros. Em segundo lugar: a empresa estabelece requisitos para esses fornecedores e os controla. Este segundo ponto se sobrepõe com a pergunta sobre se a empresa estabelece requisitos de segurança para seus próprios fornecedores — muitas vezes é literalmente a mesma pergunta, apenas declarada novamente em outro lugar da lista com outras palavras.

Quem é certificado ISO/IEC 27001 pode geralmente fazer referência aos controles de relações com fornecedores do Anexo A — eles existem especificamente para esta parte, e um auditor já os avaliou. Sem certificação, a resposta não é automaticamente "não": o que é relevante é se existe uma análise de risco que inclua fornecedores como ponto de atenção, mesmo que seja informal. Isso se alinha com a pergunta mais ampla sobre política de análise de riscoonde os riscos da cadeia são tipicamente um parágrafo, não um documento separado. Se nada foi documentado, então "não" é a resposta honesta — sugerir um sim sem que haja uma análise de risco, cláusula contratual ou visão geral de fornecedores que a fundamente não resiste se o cliente solicitar a comprovação.

De onde vem isto: artigo 21.º n.º 2 NIS2

A segurança da cadeia é mencionada como elemento separado no artigo 21.º n.º 2 da Diretiva NIS2, entre as dez medidas enumeradas lá. Para quem se enquadra na diretiva — ou em breve na Lei de Cibersegurança, a transposição holandesa que entra em vigor em 15 de agosto de 2026 — isto não é uma parte facultativa mas uma das medidas obrigatórias. Para quem não se enquadra, mas ainda assim recebe a pergunta de um cliente, é geralmente uma transmissão do mesmo requisito: o cliente deve ser capaz de demonstrar que controla sua cadeia, e por isso questiona sobre isto.