Por que está a receber este questionário
Se a sua empresa fornece algo a uma organização que se enquadra na Diretiva NIS2 — uma entidade essencial ou importante, pense em empresas de energia, hospitais, grandes empresas de transportes ou infraestrutura digital — então esse cliente deverá avaliar os seus próprios fornecedores. A diretiva obriga esse cliente a mapear os riscos na sua cadeia de fornecimento, não apenas nos seus próprios sistemas. Isto está descrito no que é frequentemente designado como obrigação de cuidado, que se encontra no artigo 21 da diretiva. O questionário que recebe é a consequência prática disso: o seu cliente deve ser capaz de demonstrar que sabe quem são os seus fornecedores e como lidam com a segurança.
É importante ter em conta que o facto de receber um questionário não significa automaticamente que a sua organização se enquadre na Diretiva NIS2. A maioria das empresas que recebem essa lista é o que se designa como afetada pela cadeia de fornecimento — não se enquadram diretamente na lei, mas são confrontadas com ela através de um cliente. Para saber se é esse o caso da sua organização e que tipo de afetação é, pode verificar com uma verificação breve que mapeia a sua situação.
O que geralmente aparece nele
Os questionários que estão atualmente em circulação variam significativamente conforme o autor — não existe um formato obrigatório de acordo com a lei. Ainda assim, certos tópicos surgem quase sempre. Perguntas sobre quem dentro da sua organização é responsável pela segurança da informação, se tem uma política para lidar com incidentes, como regula o acesso aos sistemas, se os colaboradores recebem formação, e se também estabelece requisitos para os seus próprios fornecedores. Alguns questionários também solicitam certificações, informações sobre incidentes anteriores, ou como lida com atualizações e planos de remediação.
O pensamento subjacente é sempre o mesmo: o cliente tenta obter uma compreensão dos riscos que podem chegar a ele através do seu fornecimento. Isto não é desconfiança em relação à sua empresa especificamente, mas uma obrigação que o cliente deve cumprir. Se quiser compreender quais são as dez medidas que servem como base para isto, encontrará essa explicação em a visão geral dos tópicos por situação.
O que uma resposta útil exige
Uma boa resposta a um questionário de segurança não é necessariamente uma resposta em que preenche 'sim' em tudo. As autoridades supervisoras e clientes geralmente olham para a consistência: as suas respostas estão alinhadas com o que realmente faz, e pode fundamentar isso? Um preenchimento vago ou demasiado otimista gera mais questões a longo prazo do que uma resposta honesta que identifica um ponto de melhoria com um cronograma associado.
Ajuda ter três coisas claras por cada pergunta: qual é a situação atual, quem dentro da sua organização pode confirmar isso, e que documento de prova está associado — uma política, uma captura de ecrã de uma configuração, um registo de formação. As empresas que não têm de encontrar novamente estes três pontos por cada pergunta, mas já os têm registados num registo contínuo, podem normalmente preencher um questionário em cerca de uma hora em vez de dias. É exatamente para isso que se destina um dossier com estado, documento de prova e responsável por medida.
O que não precisa fazer
É bom saber que o preenchimento e envio deste questionário continuam a ser da sua responsabilidade — um serviço pode ajudá-lo na preparação e estruturação de respostas, mas nunca deverá submeter em seu nome a um cliente ou autoridade supervisora. Também uma auditoria, um teste de penetração ou uma certificação é algo diferente do preenchimento de um questionário; continua a ser trabalho para partes especializadas, caso um cliente especificamente o solicite.
Se tem dúvidas sobre se as perguntas que recebe são razoáveis em relação ao seu tamanho e papel, essa é uma conversa que é melhor ter diretamente com o cliente, eventualmente com um jurista se os requisitos forem estabelecidos contratualmente. A Secria descreve o que a diretiva e a legislação nacional dizem, mas não se pronuncia sobre contratos individuais.
Explorar mais
Caso deseje saber primeiro de onde vem esta informação e como é mantida, leia sobre a página sobre o funcionamento da plataforma. Se ainda não tem uma ideia clara da sua própria posição na cadeia de abastecimento, comece com a verificação gratuita — que lhe dá em poucas perguntas uma indicação e um próximo passo lógico, sem precisar de uma conta.