O que muda no contrato com seu cliente
Um cliente que está sujeito à obrigação de cuidado da NIS2 — um hospital, uma empresa de energia, um grande centro logístico — deve demonstrar que os riscos na própria cadeia estão mapeados. Empresas de instalação geralmente estão no meio dessa cadeia, não porque estejam sujeitas à obrigação, mas porque têm acesso físico e digital ao edifício e aos sistemas do cliente. É precisamente por isso que os requisitos contratuais que você encontrará nos próximos tempos se concentram no acesso: quem pode entrar, com que meios e o que essa pessoa pode alcançar a partir daí.
O essencial é simples de entender sem ler o próprio texto legal: um cliente pode pedir a você como evita que uma chave, um crachá ou uma conexão de manutenção se torne uma entrada para outra pessoa. A redação exata varia de cliente para cliente, mas a pergunta subjacente é praticamente a mesma para quase todos.
O que um cliente sujeito à obrigação solicita especificamente
A Diretiva NIS2 obriga as entidades essenciais e importantes a avaliar riscos junto a fornecedores — essa é a essência da obrigação de cuidado do artigo 21. Na prática, essa obrigação é traduzida em três tipos de requisitos que ocorrem em empresas de instalação: requisitos para pessoas (quem pode estar em suas instalações em nome da empresa), requisitos para meios (como chaves, crachás e ordens de trabalho são gerenciados) e requisitos para conexões (como se faz login remoto em sistemas prediais). Nenhum desses requisitos aparece literalmente assim na diretiva; são implementações práticas que os clientes escolhem para cumprir sua própria obrigação de cuidado.
Se você não tem certeza se seu cliente está obrigado a isso, pode verificar por meio de uma verificação rápida que mostra quem na cadeia é afetado. Isso ajuda a contextualizar melhor a conversa com o cliente: é uma obrigação que vem deles ou uma escolha pessoal do departamento de compras deles.
Acesso a edifícios: chaves, crachás e sistemas de controle predial
No acesso físico, geralmente há três perguntas que aparecem nos contratos: existe um registro de chaves ou crachás mantido por funcionário, esse acesso é revogado assim que alguém deixa o projeto ou a empresa, e existe um procedimento estabelecido para registrar subcontratados que trabalham em suas instalações. Para empresas de instalação que trabalham com montadores e subcontratados variáveis, essa é frequentemente a área que requer mais adaptação — não porque seja tecnicamente complexo, mas simplesmente porque ainda não havia sido documentado.
Os sistemas de controle predial — sistemas que controlam aquecimento, iluminação, elevadores ou controle de acesso — formam uma categoria separada. Um cliente geralmente quer saber se a senha de um sistema desses foi alterada após a entrega, quem gerencia as credenciais de login e se uma senha antiga de um projeto anterior foi reutilizada. Isso não é desconfiança exagerada: sistemas de controle predial são exatamente o tipo de sistema em que uma falha não permanece em um departamento de TI, mas fica visível no edifício em si.
Acesso a sistemas: gerenciamento remoto e conexões de manutenção
Quando empresas de instalação acompanham remotamente ou realizam manutenção — por meio de uma conexão VPN, uma ferramenta tipo TeamViewer ou um endereço IP fixo com acesso — o cliente geralmente quer saber como essa conexão é protegida, se é desconectada após o uso, e quem internamente em sua empresa tem acesso a essa conexão. Isso afeta diretamente o gerenciamento de acesso dentro de sua própria organização: uma conexão que pode ser usada por qualquer um da equipe sem log ou limite de tempo é exatamente o tipo de resposta em que um questionário de segurança fica preso.
Os temas relacionados — desde políticas de senhas até a revogação de acesso quando pessoal sai — estão descritos de forma clara em a visão geral dos tópicos por situação, para que você não precise procurar na diretiva completa pela seção que se aplica a você.
O que você já pode preparar agora
Mesmo sem um contrato específico ainda em vigor, é útil saber quais chaves, crachás e conexões estão ativos neste momento em projetos em andamento, e se esse registro está atualizado. Não se trata de um trabalho jurídico, mas administrativo, e é exatamente o tipo de evidência que um contratante pode solicitar depois. Se você tiver dúvidas sobre se um requisito específico em um contrato preliminar é razoável ou vai além do que a obrigação de diligência justifica, essa é uma questão para um advogado ou, em caso de dúvida sobre a obrigação do próprio contratante, para a autoridade competente — secria.eu prepara a documentação subjacente, mas não avalia contratos individuais.
Quer ver primeiro como secria.eu oferece suporte para esse tipo de pergunta, desde a verificação inicial até os modelos para um questionário? Em a página que explica de onde as informações vêm está a estrutura da plataforma passo a passo, e as perguntas mais frequentes sobre função e obrigação responde a dúvidas semelhantes de outras empresas de instalação.
Se você tem curiosidade em saber se sua própria situação se enquadra na cadeia e o que isso significa concretamente para os contratos que você assina, a verificação NIS2 gratuita é uma primeira etapa lógica, assim como a base de conhecimento que é acessível sem conta.