O setor de instalação não está sujeito como um todo à Diretiva NIS2. Não existe um setor «instalação» nos anexos que a diretiva utiliza para designar entidades essenciais e importantes. No entanto, empresas de instalação recebem essa pergunta com cada vez mais frequência, e há uma razão concreta: muitos dos seus clientes estão, de facto, sujeitos à obrigação de diligência, e essa obrigação obriga-os a analisar também os seus fornecedores.
Se a NIS2 o afeta a si e à sua empresa de instalação depende de três aspetos em conjunto: o setor em que trabalha, o tamanho da sua empresa e a questão de saber se, através dos seus clientes, se encontra na cadeia de uma organização obrigada. Esta terceira via é frequentemente a mais provável para instaladores e, por isso, merece atenção especial.
Setor: a instalação está abrangida pelo Anexo I ou II?
A diretiva designa setores em dois anexos: Anexo I para setores essenciais como energia, água potável, saúde e infraestrutura digital, e Anexo II para setores importantes como determinada indústria e tratamento de águas residuais. Uma empresa de instalação geral que instala sistemas de aquecimento, elétricos ou de segurança não está, enquanto tal, nesses anexos. Existem exceções possíveis: um instalador que é parte de uma rede energética, ou que gere infraestrutura crítica para um setor designado, pode estar mais próximo do âmbito direto. Esta é uma avaliação caso a caso e não um resultado geral para o setor.
Tamanho: classifica-se como micro, pequena, média ou grande empresa?
A diretiva vincula a obrigação direta ao tamanho: em essência, trata-se de médias e grandes empresas dentro dos setores designados, com exceções que podem variar por setor. Muitas empresas de instalação, em termos de pessoal e volume de negócios, são pequenas ou médias e, por essa razão também, frequentemente não estão sujeitas à obrigação direta, mesmo que o setor tivesse alguma ligação. No entanto, o tamanho sozinho nunca é o resultado completo; o setor e o tamanho devem ser considerados em conjunto, e a transposição nacional pode divergir nalguns aspectos da própria diretiva.
Posição na cadeia: acesso a edifícios e sistemas nos clientes
Aqui reside o verdadeiro ponto de atenção para instaladores. Uma empresa de instalação que trabalha para um hospital, uma empresa de energia, uma câmara municipal ou uma grande empresa de logística frequentemente entra literalmente: em edifícios, junto a armários de contadores, junto a sistemas de gestão de edifícios, por vezes com login próprio em sistemas do cliente. Para o cliente que se encontra ele próprio sujeito à obrigação de diligência, este é precisamente o tipo de acesso sobre o qual o artigo 21 da diretiva se debruça: riscos que surgem através de fornecedores e prestadores de serviços fazem parte da segurança própria dessa organização. Por isso é que empresas de instalação recebem questionários de segurança, termos contratuais ou requisitos sobre controlo de acesso, mesmo sem serem elas próprias obrigadas.
O que significa estar «na cadeia» na prática para si?
Estar na cadeia significa que não está sujeito a uma obrigação de comunicação ou registro própria, mas um cliente pode pedir-lhe que demonstre como funciona o seu controlo de acesso, palavras-passe, atualizações e incidentes. Isto acontece habitualmente através de um questionário de segurança ou de uma adição ao contrato. Quem não tem nada a contrapor a isso corre o risco de uma encomenda ir para um concorrente que consiga responder de forma rápida e convincente. Assim, não é uma obrigação legal que incida diretamente sobre a sua empresa, mas sim uma realidade comercial que decorre dessa obrigação do seu cliente. ler a explicação por situação fornece uma visão de como estes dois aspetos — diretamente obrigado e na cadeia — se distinguem na prática.
O que pode fazer agora?
O primeiro passo é ter clareza sobre qual das três categorias se aplica à sua empresa: entidade essencial, entidade importante, afetada pela cadeia de abastecimento, ou não afetada. É exatamente para isso que a verificação NIS2 se destina: algumas perguntas sobre setor, tamanho e clientes para os quais trabalha, com uma indicação e uma explicação do porquê. em algumas perguntas ver onde se situa a sua empresa não requer conta nem custos. Se o resultado for afetada pela cadeia de abastecimento, a próxima pergunta é prática: que questionários e requisitos contratuais pode esperar, e como documenta as respostas para não ter de as inventar novamente cada vez. ver as perguntas frequentes sobre a verificação e o dossiê dá uma primeira impressão disso, e ler onde a informação na plataforma provém mostra como os resultados estão ligados à diretiva e à lei nacional.
Quer já saber se sua empresa de instalação tende a ser essencial, importante, afetada pela cadeia de abastecimento ou não afetada? Faça a verificação NIS2 gratuita, ou leia primeiro a base de conhecimentos para compreender os conceitos ao seu próprio ritmo.