Cadeia de abastecimento NIS 2: o essencial
O artigo 21.º, n.º 2, alínea d), da NIS 2 exige que as empresas reguladas tomem medidas de segurança da cadeia de abastecimento, incluindo o lado da segurança das relações com os seus fornecedores e prestadores de serviços diretos. Esta página cobre o essencial: o que a regra diz, a quem chega, o que os seus clientes vão pedir e como os fornecedores provam a cibersegurança sem se tornarem eles próprios uma entidade regulada.
Por que os pequenos fornecedores são afetados pela NIS2
A NIS2 (art. 21.º, n.º 2, alínea d), NIS-2, transposto no §30, n.º 2, ponto 4, BSIG) exige que cada entidade essencial e importante (cerca de 29 500 na Alemanha, segundo o BSI) tome medidas de segurança da cadeia de abastecimento, incluindo o lado da segurança das relações com os seus fornecedores e prestadores de serviços diretos. Ao escolher essas medidas, tem de ter em conta as vulnerabilidades específicas de cada fornecedor direto e a qualidade global dos produtos e das práticas de segurança dos seus fornecedores (art. 21.º, n.º 3). Os contratos são o meio habitual: a exposição de motivos alemã dá como exemplo os acordos contratuais com fornecedores.
Se a sua empresa tem menos de 50 trabalhadores e o seu volume de negócios anual e o total do balanço não estão ambos acima de 10 milhões de EUR, normalmente não está diretamente regulada pela NIS2. Alguns tipos de entidade são regulados independentemente da dimensão, como os prestadores de serviços de confiança, os prestadores de DNS, os registos de TLD, os pequenos prestadores de telecomunicações públicas e os operadores de instalações críticas (§28 BSIG). Se presta serviços de TI, software, componentes, logística ou qualquer outro serviço a uma empresa regulada, os requisitos da NIS2 podem chegar até si através dos seus contratos.
§30, n.º 2, ponto 4, BSIG: Segurança da cadeia de abastecimento
As entidades reguladas têm de tomar medidas para a "segurança da cadeia de abastecimento, incluindo aspetos de segurança das relações com fornecedores diretos ou prestadores de serviços" (§30, n.º 2, ponto 4, BSIG, que transpõe o art. 21.º, n.º 2, alínea d), NIS-2). O dever continua a ser da entidade regulada; um fornecedor só assume obrigações através do que acorda com esse cliente.
Requisitos contratuais
Muitas empresas reguladas pela NIS2 usam os contratos com fornecedores para cumprir o seu dever quanto à cadeia de abastecimento; a exposição de motivos alemã dá como exemplos acordos sobre medidas de gestão de riscos, tratamento de incidentes e gestão de correções. Conte com cláusulas deste tipo no próximo contrato ou na próxima renovação.
Auditorias e questionários a fornecedores
Os seus clientes podem enviar questionários de segurança e podem realizar auditorias. As respostas que já tem escritas dão-se depressa.
Obrigações de notificação de incidentes
Se um incidente de segurança na sua empresa causar um incidente significativo num cliente regulado pela NIS2, esse cliente tem de o comunicar ao BSI: um alerta precoce no prazo de 24 horas, uma notificação no prazo de 72 horas e um relatório final um mês depois (§32 BSIG). Para cumprir esses prazos, precisa de ter notícias suas rapidamente.
Vantagem competitiva
Quando uma empresa regulada escolhe entre dois fornecedores e um consegue demonstrar segurança alinhada com a NIS2 enquanto o outro não: a escolha é óbvia. A conformidade torna-se um fator de diferenciação comercial.
Avaliação de risco
Identifique e documente os riscos para os sistemas que usa no trabalho com clientes. Não precisa de ser complexo: uma lista estruturada com planos de tratamento é suficiente.
Controlo de acessos
Quem pode aceder aos dados e sistemas dos clientes? Acesso baseado em funções, MFA para acesso remoto e gestão documentada de utilizadores.
Tratamento de incidentes
Um processo documentado para detetar, responder e comunicar incidentes de segurança. Nenhuma lei fixa um prazo para um fornecedor; fixa-o o que acordar com o seu cliente, e o relógio do próprio cliente começa nas 24 horas.
Continuidade das atividades
O que acontece se os seus sistemas ficarem indisponíveis? Estratégia de cópias de segurança, procedimentos de recuperação e planos testados para continuar a entregar aos seus clientes.
Políticas e prova
Políticas de segurança escritas, registos de formação e um registo de auditoria que prove que cumpre as suas próprias regras. É isto que os auditores verificam de facto.
Verifique a sua exposição
Use a nossa verificação de aplicabilidade gratuita para confirmar o seu estatuto NIS2. Mesmo que não esteja diretamente no âmbito, identifique quais dos seus clientes são regulados pela NIS2: esses contratos virão com novos requisitos.
Faça uma avaliação de lacunas
Compare as suas práticas de segurança atuais com as 10 medidas do §30 BSIG. A maioria das pequenas empresas já faz parte disto de forma informal: a lacuna é normalmente a documentação, não a prática.
Implemente o essencial
Comece pelos itens de maior impacto: controlo de acessos, estratégia de cópias de segurança, processo de resposta a incidentes. A plataforma nisd2.eu acompanha-o em cada requisito com modelos pré-construídos.
Monte o seu dossiê de prova
Quando o seu cliente enviar um questionário de segurança, precisa de ter as respostas prontas. Políticas, registos de formação, avaliações de risco e medidas técnicas: tudo documentado e exportável.
Reveja anualmente
A conformidade NIS2 não é um projeto único. Agende uma revisão anual dos seus riscos, atualize as suas políticas e renove a formação dos colaboradores.
Perguntas frequentes
Sou legalmente obrigado a cumprir a NIS2 enquanto pequeno fornecedor?▾
Não diretamente: a NIS2 aplica-se a empresas acima do limiar de média empresa da UE (50 ou mais trabalhadores OU (mais de 10 milhões de EUR de volume de negócios E mais de 10 milhões de EUR de total do balanço), nos termos da Recomendação 2003/361/CE da Comissão) num setor regulado. Alguns tipos de entidade são abrangidos independentemente da dimensão (§28 BSIG). Contudo, os seus clientes regulados pela NIS2 estão legalmente obrigados a tomar medidas de segurança da cadeia de abastecimento (§30, n.º 2, ponto 4, BSIG, que transpõe o art. 21.º, n.º 2, alínea d), NIS-2). O seu cliente pode passar-lhe requisitos no contrato. Não será multado pelo BSI, mas pode perder contratos.
O que acontece se eu não cumprir?▾
Os seus clientes regulados pela NIS2 enfrentam coimas de até 10 milhões de EUR / 2% do volume de negócios anual mundial (entidades essenciais) ou 7 milhões de EUR / 1,4% (entidades importantes) se não cumprirem os seus deveres de segurança da cadeia de abastecimento (§65 BSIG). Ou exigem que cumpra, ou substituem-no por um fornecedor que consiga. A consequência prática é a perda de negócio, não uma coima do BSI.
Quanto custa a conformidade do fornecedor?▾
Para uma pequena empresa, o principal custo é o tempo. Quanto depende do que já existe: a lei pede medidas proporcionadas à exposição ao risco e à dimensão da empresa (§30, n.º 1, BSIG), e um fornecedor que não é regulado deve apenas o que acordar com os seus clientes.
Posso usar a conformidade NIS2 como argumento de venda?▾
Sim. Quando consegue demonstrar práticas de segurança alinhadas com a NIS2 com prova documentada, facilita ao seu cliente o cumprimento do dever quanto à cadeia de abastecimento.
E se o meu cliente ainda não pediu?▾
Pode pedir. O prazo de registo no BSI terminou em 6 de março de 2026, e a segurança da cadeia de abastecimento é uma das 10 medidas do §30, n.º 2, BSIG (ponto 4). Antecipar-se ao pedido facilita a resposta quando ela chegar.
Na prática
Onde isto aparece no percurso guiado
O percurso guiado transforma isto em passos que preenche, com a lei explicada ao lado de cada um. Abra um passo para ver o seu ecrã, preenchido para uma empresa fictícia.
O percurso em si está em alemão e em inglês.
Supply Chain Security
Write down who works for you
A list of your suppliers and service providers.
Supply Chain Security
Record what you have agreed with your suppliers
For each supplier: what does the contract say about security?
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
