Questionário de segurança de um cliente: o que fazer com ele?

## Por que você recebe este questionário Se sua empresa fornece algo para uma organização que se enquadra na diretiva NIS2 — uma entidade essencial ou importante, como empresas de energia, hospitais, grandes empresas de transporte ou infraestrutura digital — então aquele cliente deve avaliar seus próprios fornecedores. A diretiva obriga aquele cliente a mapear riscos em sua cadeia de suprimentos, não apenas seus próprios sistemas. Isso é descrito no que geralmente é chamado de zorgplicht, encontrado no artigo 21 da diretiva. O questionário que você recebe é a consequência prática disso: seu cliente deve ser capaz de demonstrar que sabe quem são seus fornecedores e como eles lidam com segurança. É importante perceber que receber um questionário não significa automaticamente que você se enquadra na diretiva NIS2. A maioria das empresas que recebem tal lista é o que se chama de keten-geraakt — elas não se enquadram na lei em si, mas são confrontadas com ela através de um cliente. Se isso se aplica à sua organização e que tipo exato de afetamento é, você pode verificar com [[LINK:/nis2-check|uma breve verificação que mapeia sua situação]]. ## O que geralmente está contido Os questionários que circulam atualmente diferem muito dependendo de quem os prepara — não há um formato obrigatório pela lei. No entanto, certos tópicos quase sempre aparecem. Perguntas sobre quem em sua organização é responsável pela segurança da informação, se você tem uma política para lidar com incidentes, como você regulamenta o acesso aos sistemas, se os funcionários recebem treinamento e se você também estabelece requisitos para seus próprios fornecedores. Alguns questionários também perguntam sobre certificações, incidentes anteriores ou como você lida com atualizações e planos de remediação. O pensamento subjacente é sempre o mesmo: o cliente tenta obter uma imagem dos riscos que podem chegar até ele através de seu fornecimento. Isso não é desconfiança em relação à sua empresa especificamente, mas uma obrigação que o cliente mesmo deve cumprir. Se você quer entender quais dez medidas servem como base para isso, encontrará essa explicação em [[LINK:/onderwerpen|o resumo de tópicos por situação]]. ## O que uma resposta útil exige Uma boa resposta a um questionário de segurança não é necessariamente uma resposta em que você marca 'sim' em todos os lugares. Autoridades regulatórias e clientes geralmente olham para consistência: suas respostas estão alinhadas com o que você realmente faz e você pode fundamentar isso? Um preenchimento vago ou demasiado otimista gera mais perguntas a longo prazo do que uma resposta honesta que identifica um ponto de melhoria com um cronograma. Ajuda ter três coisas claras por pergunta: qual é a situação atual, quem em sua organização pode confirmar isso e qual documento de suporte vai com isso — um documento de política, uma captura de tela de uma configuração, um resumo de treinamento. Empresas que não precisam pesquisar novamente esses três pontos por pergunta, mas os têm já registrados em um resumo em andamento, geralmente podem preencher um questionário em uma hora em vez de dias. É exatamente para isso que um dossier com status, documento de suporte e proprietário por medida se destina. ## O que você não precisa fazer É bom saber que preencher e enviar este questionário continua sendo sua responsabilidade — um serviço pode ajudá-lo a preparar e estruturar respostas, mas nunca deve enviar em seu nome para um cliente ou autoridade regulatória. Além disso, uma auditoria, um teste de penetração ou uma certificação é diferente de preencher um questionário; isso continua sendo trabalho para partes especializadas, caso um cliente peça especificamente por isso. Se você duvida que as perguntas que recebe são razoáveis em relação ao seu tamanho e papel, essa é uma conversa que você melhor trava diretamente com o cliente, possivelmente com um advogado se os requisitos forem fixados contratualmente. Secria descreve o que a diretiva e a legislação nacional dizem, mas não opina sobre contratos individuais. ## Olhar adiante Se você quer primeiro saber de onde vem essa informação e como é mantida, leia isso em [[LINK:/hoe-het-werkt|a página sobre como a plataforma funciona]]. Se você ainda não tem uma visão de sua própria posição na cadeia, comece com a verificação gratuita — ela fornece em algumas perguntas uma indicação e um próximo passo lógico, sem que você precise de uma conta para isso.