cliente pergunta como gerenciamos o acesso de fornecedores externos

O acesso para fornecedores externos faz parte do artigo 21.º, n.º 2

Esta pergunta diz respeito ao modo como o utilizador gere o acesso de terceiros aos seus sistemas e dados, e isso afecta duas das dez medidas do artigo 21.º, n.º 2 da NIS2 ao mesmo tempo: ponto (i), a política de acesso, e ponto (d), a segurança da cadeia de fornecimento em relação aos fornecedores. O cliente quer, portanto, não apenas saber se partes externas têm acesso, mas também como esse acesso é delimitado, quem o concede e revoga, e se esse processo está documentado. Uma resposta como "os fornecedores obtêm acesso apenas após aprovação" é demasiado vaga sem explicar como essa aprovação funciona e com que frequência é revista.

O que o utilizador concretamente necessita: uma descrição do processo de autorização para contas externas, de preferência com uma menção ao princípio do menor privilégio (acesso limitado ao necessário) e do período em que o acesso é revista ou revogado no final da tarefa. Se esse processo estiver ausente, então "não" é a resposta honesta aqui — um "sim" sugestivo sem um documento subjacente causa mais danos durante uma auditoria do cliente do que um não com uma explicação de que a política está em desenvolvimento. Este tema sobrepõe-se com a política de acesso e gestão de ativos da organização, onde a estrutura de autorização mais ampla é tratada, e com a pergunta sobre se a empresa estabelece requisitos para os seus próprios fornecedores, uma vez que a gestão do acesso externo é frequentemente parte da mesma política de cadeia de fornecimento na prática.

Onde isto consta: artigo 21.º, n.º 2, pontos (d) e (i)

O artigo 21.º, n.º 2 da Directiva (UE) 2022/2555 menciona na alínea (i) a "política de controlo de acesso" como uma das dez medidas obrigatórias, e na alínea (d) a segurança da cadeia de abastecimento, incluindo a relação com fornecedores — o acesso externo enquadra-se em ambas. Na Norma ISO/IEC 27001 Anexo A, as medidas de controlo correspondentes para a gestão do acesso e para as relações com fornecedores estão desenvolvidas ao nível de controlo, o que explica por que razão um cliente frequentemente pede um número específico de controlo do Anexo A em vez do próprio texto da directiva. Para as empresas abrangidas pela transposição holandesa, esta obrigação reaparece na Lei de Segurança Cibernética, que entra em vigor em 15 de Agosto de 2026.