A resposta breve
Uma parte da entrega de serviços TIC figura nominalmente na lista de setores da NIS2 e pode, portanto, ser ela própria essencial ou importante. Pense em fornecedores de serviços geridos e serviços de segurança geridos, fornecedores de computação em nuvem e centros de dados. Mas a maioria dos prestadores de serviços TIC — o administrador de rede local, a entidade que efetua a manutenção remota de servidores, o fornecedor de uma aplicação empresarial — não estão cobertos pela lista de setores. Frequentemente são afetados, e porque o seu cliente está obrigado por lei a isso: uma entidade essencial ou importante deve, de facto, avaliar a segurança dos seus fornecedores, e um prestador de serviços TIC com acesso aos sistemas é uma entidade óbvia para essa avaliação.
Se está sujeito a obrigações ou se é afetado pela cadeia de fornecimento depende, portanto, de três coisas em conjunto: o seu tipo de serviço figura na lista de setores, a sua organização atinge a dimensão que lhe corresponde e qual é o seu papel factual junto aos clientes que estão sujeitos a obrigações. Estes três fatores determinam conjuntamente a resposta, e funcionam independentemente um do outro — pode atingir a dimensão sem estar no setor correto, ou estar precisamente no setor correto sem atingir a dimensão.
O que a lista de setores diz sobre a entrega de serviços TIC
A diretiva NIS2 distingue setores de criticidade elevada e outros setores críticos. Na infraestrutura digital e na entrega de serviços digitais, figuram nomeadamente fornecedores de serviços geridos (managed service providers) e fornecedores de serviços de segurança geridos (managed security service providers), juntamente com serviços de computação em nuvem, centros de dados e fornecedores de mercados em linha e motores de busca. Quem se enquadrar em uma dessas categorias, passa pelo mesmo teste que qualquer outro setor: o seu próprio serviço corresponde à descrição na diretiva e, em caso afirmativo, em que categoria.
Quem fornece unicamente software, constrói um sítio web ou executa projetos de TI ocasionais sem gestão contínua, geralmente fica fora desta descrição específica — embora a delimitação precisa seja uma questão da sua própria situação, não de uma regra geral. Se duvida qual a descrição aplicável à sua prestação de serviços, em algumas questões uma primeira indicação ajuda, com uma referência ao local exato na diretiva.
A dimensão conta tanto quanto o setor
Um setor por si só não é suficiente para ser essencial ou importante. A NIS2 funciona com critérios de dimensão que se alinham com a classificação padrão de empresas médias e grandes: o número de colaboradores e o volume de negócios ou o total do balanço contam na determinação da categoria. Uma empresa individual que oferece gestão de redes a um punhado de empresas locais situa-se, em termos de dimensão, numa categoria diferente da de um prestador de serviços TIC nacional com centenas de colaboradores, embora ambos ofereçam essencialmente o mesmo serviço.
As leis nacionais que transpõem a diretiva — em Portugal, a lei relevante — desenvolvem estes critérios, e a autoridade de supervisão publica orientação prática a respeito. Mantemos estas fontes atualizadas com a data em que as consultamos, para que possa questionar quando uma indicação se baseia.
Gestão remota e acesso aos sistemas do cliente: a posição na cadeia de fornecimento
Justamente nos serviços de TIC, a posição na cadeia de fornecimento é frequentemente o fator decisivo, independentemente do setor e da dimensão. Gestão remota, acesso às redes de clientes, gestão de palavras-passe ou manutenção de uma aplicação crítica para o cliente — estas são precisamente as características que um cliente considera ao avaliar seus próprios fornecedores. Uma entidade essencial ou importante deve, afinal, poder demonstrar que os riscos na cadeia de fornecimento estão identificados, e um fornecedor com acesso aos sistemas ocupa então um lugar cimeiro nessa lista, independentemente de esse fornecedor figurar ou não na lista setorial.
Isto explica por que muitos prestadores de serviços de TIC, sem serem obrigados por lei, recebem um questionário de segurança ou uma cláusula contratual. Não é uma obrigação jurídica que recai diretamente sobre eles, mas uma exigência prática que chega através do cliente — e que pode, com certeza, afetar o contrato.
Subcontratados: a cadeia não termina em si
Quem trabalha com subcontratados — um administrador de sistemas autónomo, uma entidade que fornece alojamento, um serviço de helpdesk externo — transmite na prática essa questão. Se o seu cliente pretende saber como é regulado o acesso aos sistemas, é provável que coloque a mesma questão aos seus próprios subcontratados. Assim, a avaliação da cadeia de fornecimento estende-se por múltiplos elos, mesmo que nenhum deles seja obrigado pela lista setorial.
O que isto significa para o seu dossiê
Se é obrigado por lei, apenas afetado pela cadeia de fornecimento, ou nenhum dos anteriores, determina como será a sua preparação: um dossiê completo de medidas de conformidade, respostas direcionadas a questionários de clientes, ou por enquanto nenhuma ação. Uma visão geral das dez medidas que a conformidade exige de si e como se relacionam com o que um cliente pergunta num questionário encontra-se em a explicação por tema. Para a questão de como a secria.eu mantém as fontes e em que se baseia uma indicação, é o procedimento um bom ponto de partida, e as perguntas frequentes sobre o âmbito da lei estão compiladas em o resumo de perguntas e respostas.
Comece com a verificação NIS2 para ver se o seu serviço se enquadra na lista setorial, qual é a dimensão relevante e o que a sua posição na cadeia significa para si — gratuitamente e sem conta.