O que muda este ano no questionário de cibersegurança do seu cliente?
Os questionários sobre cibersegurança que os clientes enviam aos seus fornecedores mudam em dois aspetos. Em primeiro lugar, as questões tornam-se mais concretas: em vez de uma pergunta geral sim/não sobre política de segurança, cada vez mais clientes pedem uma fundamentação breve ou uma prova por tema. Em segundo lugar, estas listas alcançam um grupo mais amplo de empresas, incluindo empresas que não se enquadram diretamente na diretiva NIS2.
A razão é simples. As empresas que se enquadram na diretiva têm de, de acordo com o texto da NIS2, também observar a segurança dos seus fornecedores. Eles transmitem isto nos seus próprios questionários, e assim a pergunta chega a empresas que estão mais à frente na cadeia. Se isto se aplica também à sua empresa depende de quem são os seus clientes e o que lhe transmitem; é melhor verificar isto diretamente com o cliente ou esclarecer com algumas perguntas que lhe dão rapidamente uma visão geral.
Porque é que as perguntas se tornam mais detalhadas
A diretiva europeia NIS2 descreve dez categorias de medidas com as quais as organizações que se enquadram na diretiva têm de trabalhar, como gestão de riscos, política de acesso e tratamento de incidentes. Os clientes que têm de prestar contas sobre estas medidas só podem fazer isto se souberem também como os seus fornecedores lidam com elas. Isto explica porque é que listas que antes faziam uma pergunta ampla agora fazem uma pergunta separada por categoria, frequentemente com o pedido de enviar uma breve prova.
Esta mudança de perguntas gerais para perguntas específicas por medida não é um ajuste único. Os clientes adaptam o seu próprio portal e formato conforme ganham mais clareza sobre o que se espera deles. Para si, como fornecedor, isto significa que o mesmo cliente pode enviar uma lista ligeiramente diferente no ano seguinte, mesmo que nada tenha mudado na sua empresa.
Quem é afectado este ano
A diretiva em si dirige-se a organizações em setores específicos e a partir de um determinado tamanho. Se uma empresa se enquadra nela está descrito na diretiva e na lei nacional que a transpõe; isto é algo a verificar junto de um jurista ou da autoridade de supervisão, não algo que se possa deduzir apenas de um questionário. O que é visível na prática: também as empresas que não se enquadram diretamente na diretiva recebem questões transmitidas porque o seu cliente tem de o fazer.
Este efeito em cascata é a mudança prática mais importante este ano. Uma empresa de instalação que faz manutenção de software para um fornecedor de energia, ou um prestador de serviços de TI que trabalha para um hospital, pode receber um questionário mais detalhado sem que a sua própria empresa se enquadre diretamente na diretiva. O contexto das dez medidas e o que significam exatamente está elaborado em base de conhecimento com explicações por assunto.
O que ainda não está estabelecido
A diretiva deveria ter sido originalmente transposta para a legislação nacional dos Estados-Membros em outubro de 2024. Nos Países Baixos, este processo legislativo ainda está em curso, e a forma exata e o momento em que a lei nacional entra plenamente em vigor não estava ainda definido no momento da redação. Isto significa que as obrigações exatas para as organizações que se enquadram na lei, e os prazos associados, podem ainda mudar agora. Para a situação atual, o texto da diretiva em si e as informações da autoridade de supervisão são a fonte apropriada, não um questionário ou um artigo de notícias.
Como lidar com isto sem recomeçar a cada ano
Porque as questões podem variar ligeiramente por cliente e por ano, ajuda registrar a informação subjacente uma vez e preenchê-la corretamente para cada nova lista. Isso evita que você comece do zero cada vez que recebe um novo questionário, mesmo que a formulação das perguntas seja ligeiramente diferente da do ano anterior. Como funciona na prática está descrito na página de onde vêm as informações.
Se tem dúvidas ou uma questão específica numa lista não se aplica ou se aplica ao seu negócio, é algo que deve discutir com o próprio cliente ou com um consultor. Uma visão geral das perguntas frequentes sobre este tipo de listas está na página perguntas frequentes sobre questionários.
Por fim
O cerne da mudança este ano não é o surgimento de uma nova obrigação, mas sim o aprofundamento das obrigações existentes na cadeia e a formulação mais concreta das questões. Se deseja saber rapidamente onde está o seu negócio neste momento, faça a verificação rápida gratuita ou leia os outros tópicos na base de conhecimento.