O que um cliente de serviços de TIC exige após NIS2
Um cliente que se enquadra na obrigação de diligência da NIS2 deve demonstrar que também controla os riscos em sua cadeia de fornecimento. Se você fornece gestão remota, hospedagem, gestão de aplicações ou um helpdesk para esse cliente, isso voltará no contrato: requisitos sobre quem tem acesso aos sistemas, como esse acesso é registrado em log, e se você usa subcontratados sem notificar previamente.
Os requisitos variam conforme o cliente e o setor, mas alguns tópicos aparecem quase sempre: controle de acesso, registro de ações de gestão, prazos de comunicação em caso de incident no seu lado, e visibilidade de quem mais está envolvido no trabalho. Este último — subcontratados — é o assunto em que a lista de verificação se detém mais para muitos provedores de serviços de TIC.
Por que isso agora está no contrato
A Diretiva NIS2 obriga as organizações sujeitas, no artigo 21, a avaliar também a segurança de seus fornecedores e prestadores de serviços. Um cliente que é auditável por suas próprias obrigações não pode demonstrar isso com uma promessa verbal; ele precisa de um acordo por escrito que possa apresentar à sua própria autoridade supervisora. Para você como provedor de serviços de TIC, isso significa: a mesma pergunta volta, mas agora registrada em um aditamento ou anexo ao contrato em vez de em um e-mail solto.
É uma mudança na forma, não necessariamente no conteúdo. Muito do que é solicitado você provavelmente já fazia como gestor. O novo é que você precisa demonstrar que faz, com uma data e um nome.
Acesso aos sistemas do cliente: o que exatamente é solicitado
Os clientes pedem cada vez mais um resumo de quem tem acesso em suas instalações, com que direitos, e como esse acesso é revogado assim que alguém deixa a equipe. Autenticação multifator para acesso de gestão é agora um requisito frequente, assim como um log que registra quando e por quem um sistema foi acessado. Alguns contratos pedem além disso um ponto de contato fixo da sua parte, para que o cliente não dependa de quem está escalado naquela semana.
A pergunta subjacente do cliente é sempre a mesma: se algo der errado, ele pode rastrear quem tinha acesso onde e quando. É também a razão pela qual respostas genéricas como "trabalhamos de acordo com as melhores práticas" raramente são suficientes — é solicitado um comprovante concreto, não uma intenção.
Gestão remota: atenção extra para autenticação e registro de log
A gestão remota recebe em muitas listas de verificação um parágrafo separado, justamente porque um invasor que entra lá pode acabar com múltiplos clientes em uma etapa. As perguntas então versam sobre a criptografia da conexão, se o acesso à gestão remota é isolado da rede normal da sua empresa, e com que rapidez você pode encerrar uma sessão se suspeitar de abuso. Aqui também se aplica: não se trata de um julgamento sobre o quão boa é sua segurança, mas sobre se você pode demonstrá-la.
Quem recebe esse tipo de pergunta pela primeira vez muitas vezes a experimenta como uma ação única para um cliente. Na prática, a evidência que você reúne para um cliente, com pequenos ajustes, também pode ser usada para o próximo. ler os tópicos por situação oferece uma visão geral de quais perguntas voltam em qual tipo de serviço.
Subcontratados: o risco que você não controla sozinho
A parte mais desafiadora para muitos prestadores de serviços de TI não é a sua própria segurança, mas a das partes que contratam: um fornecedor de hospedagem, um serviço de monitoramento, um especialista freelancer. Um cliente que é ele próprio obrigado a cumprir as medidas de gestão de risco, quer saber se você utiliza subcontratantes, quem são e se cumprem requisitos comparáveis. Alguns contratos obrigam-no a notificar antecipadamente alterações nessa cadeia de fornecimento, ou a passar por contrato os mesmos requisitos de segurança aos seus próprios fornecedores.
Para uma pequena empresa de TI, nem sempre é fácil resolver isto, especialmente se o subcontratante não compreender por que razão essa pergunta lhe é subitamente colocada. Um primeiro passo é um simples panorama: quem faz o quê para si e que acordo celebrou sobre isso. Sem esse panorama, cada novo questionário volta a ser um trabalho de investigação.
O que pode e o que não pode garantir
É sensato incluir num contrato apenas compromissos que também pode fundamentar. Um cliente que pergunta sobre tempos de resposta a um incidente, um serviço 24/7 ou uma garantia de que nada nunca corre mal, está na verdade a pedir uma promessa que poucos prestadores de serviços de TI conseguem cumprir sem estabelecer um serviço separado e dispendioso para o efeito. Cabe a si e, se necessário, a um jurista avaliar que cláusulas são razoáveis e quais vão além do que a obrigação de gestão de risco do seu cliente realmente exige.
Se a sua própria organização está também diretamente sujeita à obrigação de gestão de risco da NIS2 — como entidade essencial ou importante, ou através da cadeia de fornecimento — pode ser visto com algumas perguntas. Essa distinção determina se apenas prepara respostas para os seus clientes ou se também tem de manter um dossier próprio.
Mãos à obra
Para o cliente, o que conta no final não é a sua intenção, mas se a resposta à sua pergunta está pronta no momento em que ele a faz. Quem tiver registado uma vez por medida um estado, uma prova e um responsável, não precisa de pesquisar novamente na próxima lista de verificação. Veja qual é o custo do dossier e dos questionários se deseja abordar esta preparação de forma estruturada, ou leia primeiro as perguntas frequentes sobre como a plataforma funciona.
Comece sem compromisso com a verificação NIS2 gratuita para ver se a sua organização está ela própria obrigada a cumprir, afetada pela cadeia de fornecimento, ou nenhuma delas — e continue a ler na base de conhecimento sobre os tópicos que se aplicam ao seu setor.