Segurança da Cadeia de Fornecimento NIS2: O Que Precisa de Saber Sobre o Risco de Fornecedores

Os ataques à cadeia de fornecimento tornaram-se uma das ciberameaças mais marcantes da nossa era. A compromisso da SolarWinds, o ataque à Kaseya e inúmeros incidentes menores demonstraram que os adversários visam cada vez mais as relações de confiança entre as organizações e os seus fornecedores. Em vez de atacar diretamente uma empresa bem protegida, os atacantes exploram um elo mais fraco na cadeia de fornecimento para aceder a múltiplos alvos a jusante em simultâneo.

A NIS2 responde diretamente a esta ameaça: a segurança dos fornecedores deixou de ser uma boa prática — é uma obrigação legal. O Artigo 21.º(2)(d) exige expressamente que as organizações abrangidas implementem medidas que tratem da segurança nas relações da cadeia de fornecimento, incluindo as relações entre fornecedores e os seus próprios prestadores de serviços. Se os seus fornecedores tiverem práticas de segurança deficientes, isso passa a ser um problema de conformidade da sua responsabilidade.

O Que a NIS2 Exige em Matéria de Segurança da Cadeia de Fornecimento

O Artigo 21.º(2)(d) da NIS2 impõe que as organizações abrangidas implementem medidas que tratem da "segurança da cadeia de abastecimento, incluindo os aspetos relacionados com a segurança nas relações entre cada entidade e os seus fornecedores diretos ou prestadores de serviços."

Isto significa que deve:

• Identificar fornecedores e prestadores de serviços relevantes para a segurança das suas redes e sistemas de informação
• Avaliar as práticas de cibersegurança desses fornecedores
• Gerir e monitorizar continuamente os riscos decorrentes dessas relações
• Considerar a qualidade global e a resiliência dos produtos e serviços fornecidos pelos seus fornecedores
• Tratar das vulnerabilidades em produtos e serviços TIC comercialmente disponíveis provenientes da sua cadeia de fornecimento

A obrigação vai além dos seus fornecedores diretos. Se um serviço crítico de que depende for, por sua vez, dependente de um subfornecedor de risco elevado, esse risco deve fazer parte da sua avaliação. A NIS2 requer efetivamente uma visão da sua cadeia de fornecimento que vai pelo menos um nível abaixo.

O Que Isto Significa na Prática

Traduzir o Artigo 21.º(2)(d) em realidade operacional implica construir uma abordagem estruturada à segurança dos fornecedores — não um exercício pontual de questionários, mas um programa contínuo. Na prática, isto envolve:

• Questionários de segurança de fornecedores: Avaliações estruturadas dos controlos de segurança, políticas e certificações dos fornecedores (ISO 27001, SOC 2, etc.)
• Cláusulas de segurança nos contratos: Obrigações contratuais que exigem aos fornecedores a manutenção de padrões de segurança específicos, a notificação de incidentes que afetem os seus dados ou sistemas e a autorização de auditorias
• Monitorização contínua: Reavaliações regulares, requisitos de notificação de incidentes e acompanhamento de vulnerabilidades publicamente conhecidas que afetam os produtos dos fornecedores
• Direito de auditoria: A possibilidade de solicitar evidências das medidas de segurança dos fornecedores ou de conduzir avaliações independentes

Quais os Fornecedores Mais Relevantes?

Nem todos os fornecedores comportam o mesmo risco. Para efeitos da NIS2, deve priorizar os fornecedores e prestadores de serviços com maior potencial de comprometer as suas redes e sistemas de informação em caso de incidente ou falha. Estes incluem tipicamente:

• Fornecedores de infraestrutura TI crítica — fornecedores de firewalls, segurança de endpoints, equipamentos de rede e sistemas de gestão de identidades
• Fornecedores de serviços em nuvem — fornecedores de infraestrutura como serviço, plataforma como serviço e software como serviço que alojam ou processam dados ou aplicações críticos
• Prestadores de serviços geridos (MSP) — terceiros com acesso remoto privilegiado aos seus sistemas
• Fornecedores de software — fornecedores de aplicações críticas para o negócio, especialmente aquelas com acesso elevado ao sistema ou funções de processamento de dados
• Serviços externalizados — fornecedores de operações de TI externalizadas, monitorização de segurança ou processamento de dados
• Fornecedores de telecomunicações — organizações que fornecem conectividade aos seus sistemas

Como Construir um Programa de Risco de Fornecedores

Um programa prático de risco de fornecedores em conformidade com a NIS2 pode ser construído em quatro etapas:

Segurança da Cadeia de Fornecimento e ISO 27001

Se a sua organização possui a certificação ISO 27001 ou está a trabalhar para a obter, já dispõe de uma estrutura para a segurança dos fornecedores. O Anexo A da ISO 27001:2022 inclui quatro controlos relacionados com fornecedores que se alinham estreitamente com os requisitos da NIS2:

Se tiver implementado estes controlos de forma adequada, possui uma base sólida para a conformidade da cadeia de fornecimento NIS2. A diferença fundamental é que a NIS2 converte estas boas práticas numa obrigação legal com fiscalização regulatória. Uma análise de lacunas pode confirmar se os seus controlos existentes são suficientes ou se o seu programa de fornecedores necessita de ser reforçado para cumprir o padrão NIS2.

Comece com os Seus 10 Fornecedores Críticos Principais

Se está a iniciar a sua jornada em matéria de segurança da cadeia de fornecimento, não tente avaliar todos os fornecedores em simultâneo. Comece pelos seus 10 fornecedores mais críticos — aqueles cuja violação, falha ou ação maliciosa teria o impacto mais significativo nas suas operações e nas suas obrigações NIS2. Construa o seu processo aí, documente o que aprende e expanda o programa de forma sistemática.

Um inventário de fornecedores, uma classificação de risco, avaliações iniciais para os seus fornecedores de primeiro nível e cláusulas contratuais atualizadas — concluídos no prazo de 6 meses — colocam-no numa posição defensável perante a sua autoridade nacional e demonstram o tipo de abordagem proporcionada e documentada que os supervisores NIS2 procuram.