Segurança da Cadeia de Fornecimento NIS2

Artigo 21(2)(d) - NIS2 Diretiva

"Segurança da cadeia de abastecimento, incluindo aspetos de segurança respeitantes às relações entre cada entidade e os respetivos fornecedores ou prestadores de serviços diretos" (art. 21.º, n.º 2, alínea d), da Diretiva (UE) 2022/2555). Em Portugal, a medida corresponde à alínea c) do n.º 1 do art. 27.º do DL 125/2025, desenvolvida no art. 28.º (segurança da cadeia de abastecimento). Os n.os 1 e 2 do art. 27.º e o art. 28.º produzem efeitos a 22 de junho de 2028 (art. 10.º, n.º 2, do DL 125/2025); a lei não impõe diretamente obrigações aos fornecedores que não sejam, eles próprios, entidades abrangidas.

A segurança da cadeia de fornecimento tornou-se crítica após ataques como SolarWinds, Kaseya e Log4Shell. A NIS2 exige que as organizações avaliem e façam a gestão ativa dos riscos cibernéticos associados a fornecedores e terceiros que têm acesso aos seus sistemas ou dados.

📋

Introdução

Por que a segurança da cadeia de fornecimento é crítica para NIS2

▼

A cadeia de fornecimento digital moderna cria dependências complexas entre organizações. Um único fornecedor comprometido pode afetar centenas ou milhares de empresas downstream. A NIS2 reconhece este risco e exige gestão ativa da segurança de terceiros.

Estatísticas

98% das organizações têm relação com pelo menos um fornecedor que sofreu uma violação de dados (SecurityScorecard, 2023)
Os ataques à cadeia de fornecimento de código aberto aumentaram 430% em 2020 face a 2019 (Sonatype, 2020)
O tempo médio para identificar uma violação de dados, em média geral (não só através de terceiros), é 207 dias (IBM Cost of a Data Breach, 2022)

Exemplos de Ataques Recentes

SolarWinds (2020) - Compromisso de software de gestão: cerca de 18 000 clientes instalaram a atualização comprometida, incluindo agências governamentais, embora o número de organizações efetivamente exploradas tenha sido muito menor

Kaseya (2021) - Ransomware através de software de gestão remota afetou 1,500+ empresas em cascata

Log4Shell (2021) - Vulnerabilidade em biblioteca amplamente usada afetou milhões de aplicações

🎯 Boas práticas para a cadeia de fornecimento

A lei não impõe estas ações uma a uma: são boas práticas para cumprir a alínea c) do n.º 1 do art. 27.º e o art. 28.º do DL 125/2025 (efeitos a 22 de junho de 2028), cabendo a cada entidade decidir como as implementa, incluindo se recorre a auditorias contratuais.

Identificar e classificar fornecedores críticos
Avaliar postura de segurança antes da contratação (due diligence)
Incluir requisitos de segurança em contratos
Monitorizar continuamente o risco de fornecedores
Estabelecer processo de gestão de incidentes envolvendo terceiros
Acordar contratualmente que fornecedores notifiquem incidentes atempadamente
Considerar auditorias contratuais a fornecedores críticos, quando adequado
Manter planos de contingência para falhas de fornecedores

🔍

Identificação de Fornecedores Críticos

Como identificar e classificar fornecedores por criticidade e risco

▼

Nem todos os fornecedores representam o mesmo nível de risco. O primeiro passo é identificar quais fornecedores são críticos para as suas operações ou têm acesso significativo aos seus sistemas e dados.

Critérios de Classificação

Critério	Descrição	Peso
Acesso a Dados	Fornecedor acede ou processa dados sensíveis/pessoais	Crítico
Acesso a Sistemas	Fornecedor tem acesso privilegiado à infraestrutura ou rede	Crítico
Criticidade Operacional	Falha do fornecedor causa disrupção significativa	Alto
Volume de Transações	Quantidade de interações ou transações processadas	Médio
Concentração	Dependência única sem alternativas disponíveis	Alto
Impacto Reputacional	Incidente envolvendo fornecedor afeta reputação	Médio

📊 Matriz de Criticidade de Fornecedores

Classifique os seus fornecedores numa matriz de criticidade baseada em dois eixos: Impacto (se falhar) e Acesso (a sistemas/dados).

Nível	Descrição	Exemplos	Ação Requerida
Crítico	Alto impacto + Alto acesso	Cloud provider, core banking system, cybersecurity provider	Auditoria anual, monitoring contínuo, certificações obrigatórias
Alto	Alto impacto OU Alto acesso	Payroll provider, data analytics platform, managed IT services	Assessment anual, revisão de SLAs, cláusulas contratuais fortes
Médio	Médio impacto + Médio acesso	Marketing automation, CRM, HR software	Assessment bienal, questionário de segurança
Baixo	Baixo impacto + Baixo acesso	Office supplies, catering, cleaning services	Due diligence básica, cláusulas standard

🛡️

Avaliação de Segurança de Fornecedores

Processo de due diligence e questionários de avaliação

▼

📝 Ferramenta de Avaliação de Fornecedores

🔐

Supplier Security Assessment Tool

Utilize esta ferramenta para avaliar a postura de segurança de fornecedores. Responda às questões abaixo e obtenha uma pontuação de risco.

Nome do Fornecedor

Categoria de Serviço

1. O fornecedor possui certificação ISO 27001 ou equivalente?

2. O fornecedor realiza testes de penetração regulares?

3. O fornecedor implementa MFA para todos os acessos?

4. O fornecedor tem processo de gestão de vulnerabilidades?

5. Os dados são encriptados em repouso e em trânsito?

6. O fornecedor tem plano de resposta a incidentes testado?

7. O fornecedor realiza formação de segurança para colaboradores?

8. O fornecedor tem SLAs de segurança definidos?

9. O fornecedor aceita right-to-audit?

10. O fornecedor tem seguro de cibersegurança adequado?

📋 Áreas de Avaliação Críticas

Certificações: ISO 27001, SOC 2 Type II, ISO 22301, PCI-DSS (se aplicável)
Gestão de Acessos: MFA, PAM, princípio do menor privilégio, revisões de acesso
Proteção de Dados: Encriptação, DLP, classificação de dados, backup
Gestão de Vulnerabilidades: Scanning, patching, SLAs de remediação
Resposta a Incidentes: CSIRT, playbooks, testes, notificação
Continuidade: BCP/DR, testes, RPO/RTO definidos
Compliance: GDPR, NIS2, outras regulamentações setoriais
Seguro: Cobertura de cibersegurança e responsabilidade

📄

Requisitos Contratuais

Cláusulas de segurança, SLAs e right to audit

▼

✅ Contract Security Checklist

📝

Checklist de Cláusulas Contratuais

Garanta que os seus contratos com fornecedores incluem as seguintes cláusulas de segurança obrigatórias:

Conformidade NIS2: Obrigação explícita de cumprir requisitos da Diretiva NIS2
Proteção de Dados: Compliance com GDPR e outras leis de proteção de dados
Notificação de Incidentes: Obrigação de notificar dentro de prazo específico (ex: 24h)
Right to Audit: Direito de auditar controlos de segurança do fornecedor
SLAs de Segurança: Disponibilidade, tempo de resposta a incidentes, RPO/RTO
Gestão de Dados: Localização, retenção, eliminação segura de dados
Subfornecedores: Aprovação prévia e due diligence de subfornecedores
Certificações: Manutenção de certificações relevantes durante contrato
Formação: Formação de segurança para pessoal com acesso
Encriptação: Standards de encriptação obrigatórios
Controlo de Acesso: MFA, gestão de acessos privilegiados
Backup: Frequência e testes de backup
Portabilidade: Direito de exportar dados em formato utilizável
Responsabilidade: Limites de responsabilidade em caso de brecha
Seguro: Cobertura mínima de cibersegurança obrigatória
Terminação: Processos de offboarding e eliminação segura de dados

⚖️ Template de Cláusulas de Segurança

Exemplo de Cláusula de Notificação de Incidentes

"O Fornecedor compromete-se a notificar o Cliente de qualquer incidente de segurança que afete ou possa afetar os sistemas, dados ou serviços do Cliente no prazo máximo de 24 horas após deteção. A notificação deve incluir: (a) natureza do incidente, (b) dados/sistemas afetados, (c) medidas de contenção implementadas, (d) impacto estimado, (e) plano de remediação com timeline. O Fornecedor deve cooperar plenamente com investigações do Cliente e autoridades competentes."

Atenção: Consulte Apoio Jurídico

As cláusulas contratuais devem ser revistas por departamento jurídico para garantir enforceability e adequação ao contexto específico da vossa organização e jurisdição aplicável.

📈

Monitorização Contínua

Métricas de performance, KPIs e reporting de incidentes

▼

📊 Métricas de Performance de Segurança

Métrica	Descrição	Target	Frequência
Security Score	Pontuação agregada de postura de segurança	> 80/100	Trimestral
Patch Compliance	% de sistemas com patches atualizados	> 95%	Mensal
Tempo de Resposta	Tempo médio de resposta a incidentes	< 4 horas	Por incidente
Uptime	Disponibilidade do serviço	> 99.9%	Mensal
Vulnerabilidades Críticas	Nº de vulnerabilidades críticas abertas	0	Contínuo
Compliance Rate	% de conformidade com políticas	100%	Trimestral
Training Completion	% de colaboradores com formação atualizada	100%	Anual

🔔 Processo de Reporting de Incidentes

Estabeleça um processo claro para fornecedores reportarem incidentes. Os prazos abaixo são marcos contratuais internos definidos pela entidade, distintos dos prazos legais de notificação à autoridade de cibersegurança competente (24h, 72h, 24h e 30 dias úteis, arts. 42.º a 44.º do DL 125/2025), que se mantêm independentemente do que for acordado com o fornecedor:

1. Notificação Inicial (24h) - Fornecedor notifica ponto de contacto designado sobre potencial incidente

2. Assessment Conjunto (48h) - Equipas avaliam impacto e determinam severidade

3. Plano de Remediação (72h) - Fornecedor apresenta plano detalhado de contenção e correção

4. Updates Regulares - Comunicação contínua até resolução completa

5. Post-Mortem (30 dias) - Análise de root cause e lições aprendidas

🛠️ Ferramentas de Monitorização Recomendadas

SecurityScorecard

Monitorização contínua de risco de terceiros

BitSight

Ratings de segurança cibernética

RiskRecon

Descoberta e monitorização automatizada

OneTrust Vendorpedia

Plataforma de gestão de risco de terceiros

⚠️

Gestão de Riscos de Terceiros

Metodologia de assessment e estratégias de mitigação

▼

🎯 Risk Register de Fornecedores

📋

Supplier Risk Register

Fornecedor	Serviço	Risco Identificado	Probabilidade	Impacto	Mitigação	Status
Cloud Provider A	Infrastructure	Downtime prolongado	Médio	Crítico	Multi-cloud strategy	Em progresso
SaaS Provider B	CRM	Data breach	Baixo	Alto	Encriptação adicional	Implementado
MSP Provider C	Managed IT	Acesso privilegiado comprometido	Médio	Crítico	PAM + MFA obrigatório	Implementado

🛡️ Estratégias de Mitigação de Risco

Tipo de Risco	Estratégias de Mitigação
Concentração/Dependência	• Multi-sourcing strategy • Fornecedores backup pré-qualificados • Evitar lock-in tecnológico
Acesso Não Autorizado	• MFA obrigatório • Princípio do menor privilégio • Revisões de acesso trimestrais • Session monitoring
Data Breach	• Encriptação end-to-end • Data residency requirements • DLP implementado • Auditorias regulares
Disponibilidade	• SLAs com penalidades • Redundância geográfica • Failover automático • Testes de DR regulares
Compliance	• Certificações obrigatórias • Auditorias anuais • Cláusulas contratuais enforçáveis • Monitoring contínuo

✅

Conformidade NIS2

Garantir que fornecedores cumprem standards NIS2

▼

📜 Boas práticas contratuais com fornecedores

Em Portugal, a cadeia de abastecimento é a alínea c) do n.º 1 do art. 27.º e o art. 28.º do DL 125/2025 (as 9 áreas do art. 27.º; 10 no art. 21.º da Diretiva NIS2, porque Portugal moveu a análise de risco para o art. 26.º), com efeitos a 22 de junho de 2028. A lei não impõe diretamente obrigações aos fornecedores que não sejam, eles próprios, entidades abrangidas; o que se segue são cláusulas contratuais que a entidade pode exigir por sua iniciativa:

Fornecedores críticos demonstram práticas de cibersegurança alinhadas com as 9 áreas do art. 27.º
Obrigação contratual de notificar incidentes à entidade dentro de prazos acordados
Fornecedores mantêm evidências de conformidade (políticas, auditorias, certificações)
Direito de auditoria contratual para verificar a implementação de controlos, quando acordado
Subfornecedores submetidos ao mesmo nível de escrutínio
Processos de gestão de incidentes alinhados com os prazos de notificação da entidade (arts. 42.º a 44.º)
Capacidade de a entidade demonstrar conformidade às autoridades competentes

🔍 Programa de Auditorias de Fornecedores

Nível de Criticidade	Frequência de Audit	Tipo de Audit	Escopo
Crítico	Anual	On-site ou virtual detalhada	Todos os controlos de segurança
Alto	Bienal	Virtual + revisão documental	Controlos críticos
Médio	A cada 3 anos	Questionário + sampling	Controlos selecionados
Baixo	Baseado em risco	Self-assessment	Declaração de conformidade

📊 Matriz de Criticidade vs. Conformidade

📈

Supplier Criticality Matrix

Exemplo ilustrativo com dados fictícios.

Fornecedor	Criticidade	ISO 27001	SOC 2	Última Audit	Próxima Audit	Status
AWS	Crítico	✓	✓	2026-01	2027-01	✓ Conforme
Salesforce	Alto	✓	✓	2025-06	2027-06	✓ Conforme
Local MSP	Crítico	-	-	N/A	2026-12	⚠ Ação Necessária

🚨

Resposta a Incidentes na Cadeia

Procedimentos quando fornecedor sofre incidente

▼

📞 Plano de Resposta a Incidente de Fornecedor

Fase 1: Notificação e Triage (0-4h)

Fornecedor notifica ponto de contacto designado
Ativar equipa de resposta interna
Classificar severidade do incidente
Determinar sistemas/dados afetados
Iniciar log detalhado de timeline e ações

Fase 2: Contenção e Assessment (4-24h)

Isolar sistemas afetados se necessário
Revocar acessos do fornecedor temporariamente
Avaliar impacto nos dados e operações
Notificar a autoridade de cibersegurança competente até 24 horas após concluir que existe ou pode existir um incidente significativo (art. 42.º, n.º 1, do DL 125/2025)
Comunicar com stakeholders internos (C-level, legal, compliance)

Fase 3: Coordenação e Remediação (24-72h)

Trabalhar com fornecedor em plano de remediação
Implementar controlos compensatórios
Enviar atualização à autoridade competente em 72 horas quando necessário (art. 42.º, n.º 3) e notificação de fim de impacto em 24 horas após o fim do impacto (art. 43.º); relatório final 30 dias úteis depois (art. 44.º)
Ativar fornecedor backup se necessário
Comunicar com clientes afetados se aplicável

Fase 4: Recuperação e Lições Aprendidas (72h+)

Validar que sistemas estão seguros antes de restaurar acesso
Monitorizar de perto performance e segurança
Realizar post-mortem conjunto com fornecedor
Documentar lições aprendidas
Atualizar contratos, SLAs ou processos conforme necessário
Considerar reavaliar classificação de risco do fornecedor

📋 Checklist de Resposta Rápida

Contactos de emergência do fornecedor estão atualizados e acessíveis 24/7
Processo de escalamento está documentado e testado
Critérios de notificação ao CNCS estão claramente definidos
Templates de comunicação estão preparados (interno, clientes, reguladores)
Fornecedores backup estão identificados e pré-qualificados
Procedimentos de isolamento de sistemas estão documentados
Processo de revogação de acessos pode ser executado rapidamente
War room virtual pode ser ativado em minutos

⚖️ Responsabilidades e Accountability

Importante: Responsabilidade Partilhada mas Não Transferível

Mesmo que um incidente se origine num fornecedor, a responsabilidade final pela conformidade NIS2 e proteção de dados permanece com a vossa organização. Contratos podem estabelecer responsabilidade financeira, mas a accountability regulamentar não é transferível.

Isto significa: Devem ter capacidade de detetar, responder e reportar incidentes mesmo quando originados em terceiros. Não podem alegar "foi culpa do fornecedor" para evitar responsabilidade regulamentar.

Recursos Relacionados

Medidas técnicas

Roadmap 90 dias das medidas técnicas do Artigo 21

Ver Medidas técnicas

Medidas organizacionais

Políticas, governança e processos de gestão

Ver Medidas organizacionais

Templates

Templates de contratos, políticas e questionários

Ver Templates

Artigo 21 Completo

Texto oficial e requisitos completos do Artigo 21

Ver Artigo 21