A empresa estabelece requisitos de segurança junto aos seus próprios fornecedores?

A cadeia de fornecimento é uma das dez medidas

Sim, na maioria dos casos é relevante responder com referência a uma política concreta de fornecedores, não com uma garantia geral. A pergunta vem diretamente do artigo 21.º, n.º 2 da Diretiva NIS2, onde a "segurança da cadeia de fornecimento" figura como ponto separado junto das outras nove medidas. O cliente não quer saber se está bem protegido, mas se transmite esse requisito às partes de que depende: fornecedores de alojamento, fornecedores de software, prestadores de serviços de TI.

Concretamente, trata-se de questões como: existem requisitos de segurança nos contratos com fornecedores críticos, é avaliado o nível de segurança na adjudicação ou integração de novos fornecedores, e existe visibilidade sobre as dependências mais adiante na cadeia. Uma empresa que tem a sua própria política de segurança da informação — veja também a pergunta sobre política de análise de risco e segurança dos sistemas de informação — tem muitas vezes já um enquadramento no qual a avaliação de fornecedores é uma parte fixa. Se faltar isso, então "não" ou "parcialmente" é uma resposta honesta; um compromisso sobre o que deveria acontecer não é da nossa responsabilidade.

Onde isto aparece no artigo 21.º, n.º 2 da NIS2

O artigo 21.º, n.º 2 da Diretiva (UE) 2022/2555 menciona a segurança da cadeia de fornecimento como uma das dez medidas que uma entidade deve adotar, incluindo atenção à relação entre a entidade e os seus fornecedores ou prestadores de serviços diretos. Este ponto está frequentemente relacionado com outras medidas da mesma lista: um fornecedor que não reporta vulnerabilidades também afeta o processo de deteção e correção de vulnerabilidades, e um incidente num fornecedor deve seguir a mesma rota que um incidente na própria empresa. Se esta pergunta é obrigatória ou não depende de se a empresa em si está abrangida pela diretiva — essa é uma questão separada com uma resposta própria.