NIS2 e supply chain: a cláusula só funciona se o fornecedor produzir prova

O sinal e os factos que mudam a decisão

NIS2 inclui segurança da cadeia de fornecimento entre as medidas de gestão de risco e a orientação ENISA torna o tema operacional. Uma cláusula que repete deve manter segurança adequada não define alerta, prazo, prova, apoio ou saída.

O dever da entidade não é transferido integralmente para o fornecedor pelo contrato. Criticidade, dependência, concentração e substituibilidade devem influenciar a profundidade da cláusula.

Subcontratados relevantes precisam de visibilidade e requisitos compatíveis ao longo da cadeia. Direito de auditoria sem dados, formato, frequência ou remédio pode ser impossível de exercer durante um incidente.

Decisão, limites e condição de bloqueio

Negocie obrigações verificáveis por serviço e criticidade: notificação, vulnerabilidade, incidente, subcontratação, evidência, teste e terminação.

Direito de auditoria sem dados, formato, frequência ou remédio pode ser impossível de exercer durante um incidente.

Execução e prova de conclusão

A execução deve começar por classificar serviços e ligar cenários de risco a obrigações contratuais. Depois, definir evidência periódica e eventos que obrigam notificação imediata. O fecho exige testar contacto, entrega de artefacto, escalada e saída com o fornecedor.

A amostra contratual demonstra requisito, evidência recebida, teste executado, lacuna e remédio por fornecedor crítico.

• classificar serviços e ligar cenários de risco a obrigações contratuais.
• definir evidência periódica e eventos que obrigam notificação imediata.
• testar contacto, entrega de artefacto, escalada e saída com o fornecedor.
• A amostra contratual demonstra requisito, evidência recebida, teste executado, lacuna e remédio por fornecedor crítico.