Um contratante que se enquadra na Diretiva NIS2 não pode limitar sua obrigação de cuidado à própria organização. Essa obrigação se estende pela cadeia de fornecimento: o contratante deve avaliar quais riscos os fornecedores trazem consigo, e isso se traduz em requisitos contratuais. Para a indústria metalomecânica e de manufatura, muitas vezes não se trata apenas de automação de escritório, mas também de máquinas, sistemas de controle e linhas de produção que estão de alguma forma conectadas à rede do contratante ou à internet.
Os requisitos mais comuns dizem respeito a acesso, segmentação de redes, política de atualizações e notificação de incidentes ao próprio contratante — separadamente da obrigação legal de notificação que se aplica apenas a entidades sujeitas à regulação. Abaixo está descrito quais disposições são recorrentes e o que essas significam na prática para um ambiente de produção.
Quais disposições figuram no contrato
Os contratos revistos após NIS2 incluem geralmente uma combinação de obrigações: o direito de enviar questionários periodicamente, um prazo de notificação para incidentes que afetem a prestação de serviços ao cliente, uma obrigação de demonstrar medidas de segurança e, às vezes, um direito de auditoria. A formulação varia significativamente consoante o cliente e o setor; não existe um texto padrão aplicável a todos os contratos. Para uma compreensão mais clara do que é razoável pedir neste contexto, é útil consultar as perguntas mais frequentes sobre o que um cliente pode pedir .
É importante fazer a distinção: o cliente solicita isto por sua própria obrigação de diligência, não porque o fornecedor está sujeito à diretiva. Um fabricante de máquinas ou fornecedor na indústria metal-mecânica pode receber exigências contratuais sem ser, ele próprio, uma entidade essencial ou importante. Se isso se aplica a uma relação específica depende do setor e do tamanho do cliente e do papel que o fornecedor desempenha nessa cadeia.
O que isto significa para sistemas de produção conectados à rede
Na indústria metal-mecânica, a combinação de TI (automação de escritório) e OT (tecnologia operacional, como máquinas CNC, PLCs e linhas de produção) é um ponto de atenção recorrente nas perguntas que os clientes colocam. Máquinas que são acessíveis remotamente para manutenção, ou que enviam dados de produção para um ambiente em nuvem, recebem a mesma atenção que um portátil no escritório.
Separação entre rede de escritório e rede de produção
Uma pergunta recorrente é se a rede de produção está separada da rede de escritório e se uma falha ou contaminação numa rede se pode propagar para a outra. Esta não é uma pergunta que se responda com sim ou não apenas num questionário; supervisores e clientes analisam a configuração efetiva, não uma declaração de intenção.
Acesso remoto para manutenção
Muitas máquinas na indústria metal-mecânica são mantidas remotamente pelo próprio fornecedor da máquina, por vezes através de uma ligação permanente que fica aberta continuamente. As exigências contratuais focam-se frequentemente neste ponto: quem tem acesso, como é registado esse acesso e pode ser revogado em qualquer momento. Isto afeta tanto o fornecedor que constrói a máquina como a empresa que a utiliza.
O que os clientes pedem como prova
Para além do questionário em si, um cliente costuma solicitar uma forma de comprovação: um documento de política, um panorama de quem tem acesso a quais sistemas, ou uma declaração sobre como as atualizações são tratadas. Um certificado ou relatório de auditoria pode ser solicitado, mas não é em si uma obrigação legal decorrente da NIS2 — é uma escolha do cliente individual. Para quem deseja verificar como esses requisitos contratuais se relacionam com a sua própria posição na cadeia de suprimentos, é útil começar em algumas perguntas para verificar onde a sua organização se situa.
O que você pode fazer com isso
A maioria dos requisitos que surgem em contratos para a indústria de metais e manufatura são uma derivação das dez medidas de diligência devida da diretiva: controle de acesso, segmentação de rede, registro de incidentes e planos de recuperação reaparecem todos, mas direcionados à questão que o cliente coloca. Um panorama por situação, incluindo os tópicos específicos para ambientes de produção, está em o panorama de tópicos por setor e situação.
Para a formulação exata de um contrato, e para a questão de saber se um requisito específico é razoável em proporção ao relacionamento, o aconselhamento jurídico continua sendo o caminho apropriado; este artigo descreve os padrões que surgem, não a resposta a um contrato individual. Mais informações sobre a origem das informações neste site e como são mantidas estão em a página sobre como mantemos as fontes.
Deseja verificar rapidamente se a sua organização é afetada pela cadeia de suprimentos e qual é a próxima etapa? A verificação gratuita de NIS2 fornece uma direção inicial em algumas perguntas, sem que você precise de uma conta.