por que recebo requisitos de segurança se eu mesmo não estou sujeito à Diretiva (EU) 2022/2555

A cadeia transmite a obrigação de cuidado aos fornecedores

Isso se deve à forma como a obrigação de cuidado é estruturada. Uma organização que se enquadra na Diretiva NIS2 deve não apenas colocar em ordem a sua própria segurança, mas também avaliar o quão segura é a de seus fornecedores e prestadores de serviços — isso faz parte de o que a obrigação de cuidado significa em linguagem comum. Essa obrigação vai além da própria cadeia. Uma organização obrigada não pode se contentar apenas em proteger seus próprios sistemas; também deve ter visibilidade dos riscos que vêm através de fornecedores, parceiros de software e prestadores de serviços. Por isso o questionário, a exigência contratual ou o pedido para fornecer um comprovante.

Para o destinatário de tal questionário, isso não significa automaticamente que sua organização se enquadre na Diretiva NIS2. Significa que um cliente que de fato se enquadra está obrigado a verificar isso com seus fornecedores. Quem não é obrigado pessoalmente, mas está na cadeia de uma organização obrigada, acaba recebendo o mesmo tipo de perguntas — sobre controle de acesso, sobre notificação de incidentes, sobre medidas de segurança — sem que isso implique uma obrigação própria de registro ou notificação às autoridades de supervisão. Para saber com precisão se a própria organização também se enquadra na diretiva independentemente disso, é possível verificar através de como saber se sua empresa se enquadra na NIS2. Para quem já tem tal questionário sobre a mesa, há uma explicação separada sobre o que fazer quando um cliente solicita um questionário de segurança.

Donde esto se deriva: artículo 21, apartado 2 de la Directiva NIS2

El artículo 21, apartado 2 de la Directiva NIS2 menciona explícitamente la seguridad de la cadena de suministro y la relación con los proveedores como parte de las diez medidas que las entidades esenciales e importantes deben tomar. Esta obligación ha sido adoptada en los Países Bajos en la Ley de Ciberseguridad. El NCSC aclara en su orientación sobre la obligación de cuidado que esta responsabilidad de cadena, en la práctica, lleva a cuestionarios y requisitos contractuales dirigidos a proveedores que no se encuentran sujetos a la ley por sí solos.