{"id":204521,"date":"2026-10-16T12:44:33","date_gmt":"2026-10-16T10:44:33","guid":{"rendered":"https:\/\/factorial.com\/blog\/?p=204521"},"modified":"2026-10-16T12:47:02","modified_gmt":"2026-10-16T10:47:02","slug":"nis2-na-cadeia-de-abastecimento","status":"publish","type":"post","link":"https:\/\/factorial.com\/blog\/pt-pt\/nis2-na-cadeia-de-abastecimento\/","title":{"rendered":"NIS2 na cadeia de abastecimento: o que exige aos teus fornecedores e como te preparar"},"content":{"rendered":"<!-- H1 : NIS2 na cadeia de abastecimento: o que exige aos teus fornecedores e como te preparar Slug : nis2-cadeia-de-abastecimento Title SEO : NIS2 na cadeia de abastecimento | Factorial Meta description : Tens d\u00favidas sobre a diretiva NIS2 e a cadeia de abastecimento? Explicamos-te tudo o que precisas de saber. Entra e descobre! -->\r\n<p>O fornecedor que faz a manuten\u00e7\u00e3o dos servidores, a consultora que entra remotamente para dar suporte, o software de fatura\u00e7\u00e3o, a plataforma cloud onde est\u00e3o os dados dos clientes. <strong>Hoje nenhuma empresa funciona sem uma rede de terceiros<\/strong>, e quase todos t\u00eam algum tipo de acesso aos seus sistemas ou \u00e0 sua informa\u00e7\u00e3o. A NIS2 parte desse ponto. A seguran\u00e7a de uma empresa depende tamb\u00e9m da seguran\u00e7a de quem trabalha para ela. Por isso, <strong>obriga as entidades que regula a controlar o risco dos seus fornecedores<\/strong>, e essa exig\u00eancia acaba por chegar, atrav\u00e9s dos contratos, a muitas empresas que n\u00e3o est\u00e3o abrangidas pela diretiva mas trabalham para alguma que est\u00e1. Neste artigo vais ver <strong>o que a normativa entende por cadeia de abastecimento<\/strong>, a quem se aplica, o que as entidades abrangidas pedem aos seus fornecedores e como preparar a tua empresa, quer sejas tu a controlar fornecedores, quer sejas tu a receber as exig\u00eancias.<\/p>\r\n<h2>O que entende a NIS2 por cadeia de abastecimento?<\/h2>\r\n<p>A <a href=\"https:\/\/factorialhr.pt\/blog\/nis2-portugal\/\">diretiva NIS2<\/a> n\u00e3o traz uma defini\u00e7\u00e3o fechada de cadeia de abastecimento. Na pr\u00e1tica, refere-se ao <strong>conjunto de fornecedores e prestadores de servi\u00e7os que interv\u00eam nos sistemas, produtos e servi\u00e7os de TIC<\/strong> de que uma organiza\u00e7\u00e3o depende. O alojamento, o software de gest\u00e3o, o suporte inform\u00e1tico externo, os servi\u00e7os cloud ou a manuten\u00e7\u00e3o de equipamentos industriais ligados \u00e0 rede fazem todos parte dela. A obriga\u00e7\u00e3o est\u00e1 no <strong>n.\u00ba 2 do artigo 21.\u00ba da Diretiva (UE) 2022\/2555<\/strong>, transposta em Portugal pelo Decreto-Lei n.\u00ba 125\/2025, que re\u00fane as dez medidas m\u00ednimas de gest\u00e3o de riscos que <a href=\"https:\/\/factorialhr.pt\/blog\/empresas-essenciais-vs-importantes-nis2\/\">as entidades essenciais e importantes<\/a> t\u00eam de aplicar. A al\u00ednea d) exige garantir \u00ab<em>a seguran\u00e7a da cadeia de abastecimento, incluindo os aspetos de seguran\u00e7a respeitantes \u00e0s rela\u00e7\u00f5es entre cada entidade e os seus fornecedores ou prestadores de servi\u00e7os diretos<\/em>\u00bb.<\/p>\r\n<h3>Fornecedores diretos, n\u00e3o toda a cadeia<\/h3>\r\n<p>\u00c9 um detalhe importante que raramente se explica. A diretiva fala de <strong>fornecedores e prestadores de servi\u00e7os diretos<\/strong>, ou seja, daqueles com quem a entidade tem uma rela\u00e7\u00e3o contratual. N\u00e3o obriga a auditar o fornecedor do teu fornecedor nem a percorrer toda a cadeia para tr\u00e1s. O segundo n\u00edvel continua a contar. Se o teu fornecedor de software aloja os teus dados num terceiro, esse terceiro tamb\u00e9m pesa no teu risco. O habitual \u00e9 resolver a quest\u00e3o exigindo ao fornecedor direto que controle os seus pr\u00f3prios subcontratados e que te informe sobre eles, em vez de tentares avali\u00e1-los um a um. <strong>Tamb\u00e9m n\u00e3o \u00e9 preciso tratar todos os fornecedores da mesma forma.<\/strong> As medidas do artigo 21.\u00ba t\u00eam de ser adequadas e proporcionais ao risco, por isso a empresa que te fornece o material de escrit\u00f3rio n\u00e3o precisa do mesmo escrut\u00ednio que a que gere a tua infraestrutura cloud.<\/p>\r\n<h3>O que acrescenta o n.\u00ba 3 do artigo 21.\u00ba<\/h3>\r\n<p>O n.\u00ba 3 concretiza o que \u00e9 preciso analisar em cada fornecedor direto. As entidades devem ter em conta tr\u00eas aspetos:<\/p>\r\n<ul>\r\n<li><strong>As vulnerabilidades espec\u00edficas<\/strong> de cada fornecedor.<\/li>\r\n<li><strong>A qualidade global dos seus produtos e das suas pr\u00e1ticas de ciberseguran\u00e7a<\/strong>, incluindo os procedimentos de desenvolvimento seguro.<\/li>\r\n<li><strong>Os resultados das avalia\u00e7\u00f5es coordenadas de riscos<\/strong> realizadas a n\u00edvel europeu sobre cadeias de abastecimento cr\u00edticas, previstas no artigo 22.\u00ba.<\/li>\r\n<\/ul>\r\n<p>Por outras palavras, escolher um fornecedor pelo pre\u00e7o e pelas funcionalidades j\u00e1 n\u00e3o chega. O seu n\u00edvel de seguran\u00e7a passa a ser um crit\u00e9rio de sele\u00e7\u00e3o e de acompanhamento, com consequ\u00eancias legais para quem o contrata.<\/p>\r\n<h2>Porque \u00e9 que a NIS2 se foca nos fornecedores?<\/h2>\r\n<p><strong>Muitos dos ataques mais graves dos \u00faltimos anos chegaram ao alvo atrav\u00e9s de um terceiro de confian\u00e7a.<\/strong> Um fornecedor tem muitas vezes acessos privilegiados, liga\u00e7\u00f5es de confian\u00e7a e atualiza\u00e7\u00f5es que os clientes instalam sem fazer perguntas. Basta comprometer um para abrir a porta a centenas de organiza\u00e7\u00f5es ao mesmo tempo. Os dois casos que se citam sempre ilustram-no bem. No ataque \u00e0 <strong>SolarWinds<\/strong>, em 2020, os atacantes introduziram c\u00f3digo malicioso numa atualiza\u00e7\u00e3o do software Orion, que milhares de clientes descarregaram convencidos de que era leg\u00edtima. No caso da <strong>Kaseya<\/strong>, em 2021, aproveitaram uma vulnerabilidade da sua ferramenta de gest\u00e3o remota para espalhar ransomware atrav\u00e9s de prestadores de servi\u00e7os geridos, que por sua vez o propagaram aos seus pr\u00f3prios clientes. A ENISA analisou 24 ataques \u00e0 cadeia de abastecimento ocorridos entre 2020 e 2021 e concluiu que, na maioria, os atacantes se aproveitaram da confian\u00e7a que os clientes depositavam no seu fornecedor. A NIS2 aprende com essa li\u00e7\u00e3o e obriga as organiza\u00e7\u00f5es a deixar de dar como certa a seguran\u00e7a de terceiros sem a verificar.<\/p>\r\n<h2>A quem se aplica a NIS2 na cadeia de abastecimento?<\/h2>\r\n<p>A NIS2 abrange <strong>tr\u00eas tipos de empresa dentro da cadeia de abastecimento<\/strong>. O que as distingue \u00e9 a via por onde lhes chega a obriga\u00e7\u00e3o, a lei ou o contrato.<\/p>\r\n<h3>1. Entidades essenciais e importantes<\/h3>\r\n<p>S\u00e3o as organiza\u00e7\u00f5es a quem a normativa se aplica diretamente. Falamos de <strong>m\u00e9dias e grandes empresas dos setores dos anexos I e II<\/strong>, como energia, transportes, sa\u00fade, banca, \u00e1gua, infraestruturas digitais, alimentar ou ind\u00fastria transformadora, al\u00e9m de algumas entidades abrangidas independentemente da dimens\u00e3o. Se tens d\u00favidas sobre o teu caso, podes confirmar <a href=\"https:\/\/factorialhr.pt\/blog\/a-quem-afeta-nis2\/\">a quem se aplica a diretiva NIS2 em Portugal<\/a>. Para elas, a seguran\u00e7a da cadeia de abastecimento \u00e9 mais uma medida obrigat\u00f3ria. T\u00eam de a gerir, documentar e conseguir demonstr\u00e1-la ao CNCS, e os seus \u00f3rg\u00e3os de gest\u00e3o respondem por ela. O Decreto-Lei n.\u00ba 125\/2025 prev\u00ea inclusivamente responsabilidade pessoal dos dirigentes em caso de dolo ou neglig\u00eancia grave. Se n\u00e3o cumprirem, ficam expostas \u00e0s <a href=\"https:\/\/factorialhr.pt\/blog\/sancoes-nis2\/\">san\u00e7\u00f5es da NIS2<\/a>, que no caso das entidades essenciais podem chegar aos <strong>10 milh\u00f5es de euros ou a 2% do volume de neg\u00f3cios anual a n\u00edvel mundial<\/strong>.<\/p>\r\n<h3>2. Fornecedores que recebem as exig\u00eancias por contrato<\/h3>\r\n<p>\u00c9 aqui que est\u00e1 o grosso do impacto. Uma empresa com 30 colaboradores que desenvolve software, faz manuten\u00e7\u00e3o de equipamentos ou presta suporte inform\u00e1tico pode ficar fora do \u00e2mbito da NIS2 pela dimens\u00e3o ou pelo setor. Mas, se um dos seus clientes for um hospital, uma el\u00e9trica ou um operador log\u00edstico, <strong>esse cliente \u00e9 obrigado a controlar a sua seguran\u00e7a<\/strong>. O resultado \u00e9 aquilo a que muitos chamam <strong>o efeito domin\u00f3 da NIS2<\/strong>. Nenhuma autoridade vai inspecionar esse fornecedor, mas o cliente vai enviar-lhe question\u00e1rios, pedir-lhe certifica\u00e7\u00f5es e p\u00f4-lo a assinar cl\u00e1usulas de seguran\u00e7a. A obriga\u00e7\u00e3o chega-lhe pelo contrato. E perder uma renova\u00e7\u00e3o ou ficar de fora de um concurso tem consequ\u00eancias t\u00e3o reais como uma coima.<\/p>\r\n<h3>3. Fornecedores tecnol\u00f3gicos com obriga\u00e7\u00f5es pr\u00f3prias<\/h3>\r\n<p>Alguns fornecedores est\u00e3o dos dois lados ao mesmo tempo. Os <strong>prestadores de servi\u00e7os geridos (MSP) e de servi\u00e7os de seguran\u00e7a geridos (MSSP)<\/strong>, os servi\u00e7os de computa\u00e7\u00e3o em nuvem e os centros de dados constam do anexo I da diretiva. Se ultrapassarem os limiares de dimens\u00e3o, t\u00eam obriga\u00e7\u00f5es NIS2 pr\u00f3prias e, al\u00e9m disso, recebem as exig\u00eancias dos seus clientes. Para este grupo, <strong>o Regulamento de Execu\u00e7\u00e3o (UE) 2024\/2690<\/strong> detalha como aplicar a seguran\u00e7a da cadeia de abastecimento. Pede-lhes, entre outras coisas, uma pol\u00edtica espec\u00edfica para a rela\u00e7\u00e3o com os fornecedores, crit\u00e9rios de sele\u00e7\u00e3o documentados e um registo atualizado dos fornecedores com quem trabalham.<\/p>\r\n<h2>O que pedem as entidades abrangidas aos seus fornecedores?<\/h2>\r\n<p>A primeira coisa que uma entidade abrangida faz \u00e9 <strong>classificar os fornecedores consoante o risco que representam<\/strong>. A partir da\u00ed, as exig\u00eancias aumentam com a criticidade. \u00c9 esta a l\u00f3gica seguida pela maioria dos programas de gest\u00e3o de fornecedores.<\/p>\r\n\r\n<figure class=\"wp-block-table\">\r\n<table>\r\n<thead>\r\n<tr>\r\n<th style=\"text-align: center;\">N\u00edvel de criticidade<\/th>\r\n<th style=\"text-align: center;\">Exemplos de fornecedor<\/th>\r\n<th style=\"text-align: center;\">O que se costuma pedir?<\/th>\r\n<\/tr>\r\n<\/thead>\r\n<tbody>\r\n<tr>\r\n<td style=\"text-align: center;\"><strong>Alto<\/strong><\/td>\r\n<td style=\"text-align: center;\">Servi\u00e7o cloud que aloja dados sens\u00edveis, MSP com acesso de administrador, software que sustenta o servi\u00e7o essencial<\/td>\r\n<td style=\"text-align: center;\">Question\u00e1rio completo, certifica\u00e7\u00e3o ou auditoria, cl\u00e1usulas refor\u00e7adas e notifica\u00e7\u00e3o de incidentes em 24 horas ou menos<\/td>\r\n<\/tr>\r\n<tr>\r\n<td style=\"text-align: center;\"><strong>M\u00e9dio<\/strong><\/td>\r\n<td style=\"text-align: center;\">Software de gest\u00e3o interna, consultoria com acesso pontual aos sistemas<\/td>\r\n<td style=\"text-align: center;\">Question\u00e1rio, evid\u00eancias documentais e cl\u00e1usulas de seguran\u00e7a standard<\/td>\r\n<\/tr>\r\n<tr>\r\n<td style=\"text-align: center;\"><strong>Baixo<\/strong><\/td>\r\n<td style=\"text-align: center;\">Fornecedores sem acesso a sistemas nem a dados<\/td>\r\n<td style=\"text-align: center;\">Uma declara\u00e7\u00e3o simples ou nenhuma exig\u00eancia espec\u00edfica<\/td>\r\n<\/tr>\r\n<\/tbody>\r\n<\/table>\r\n<\/figure>\r\n<p>Seja qual for o n\u00edvel, os pedidos costumam chegar em tr\u00eas formatos.<\/p>\r\n<h3>1. Question\u00e1rios de seguran\u00e7a<\/h3>\r\n<p>\u00c9 quase sempre o primeiro contacto. <strong>O cliente envia um question\u00e1rio<\/strong>, por vezes com dezenas ou at\u00e9 centenas de perguntas, para perceber como o fornecedor gere a seguran\u00e7a. Algumas organiza\u00e7\u00f5es usam modelos standard como o SIG da Shared Assessments ou o CAIQ da Cloud Security Alliance, e outras t\u00eam o seu pr\u00f3prio modelo. O formato muda, mas os temas repetem-se quase sempre:<\/p>\r\n<ul>\r\n<li><strong>Governo da seguran\u00e7a:<\/strong> se existe uma pol\u00edtica de seguran\u00e7a aprovada e um respons\u00e1vel designado.<\/li>\r\n<li><strong>Controlo de acessos:<\/strong> utiliza\u00e7\u00e3o de MFA, gest\u00e3o de contas privilegiadas e remo\u00e7\u00e3o de acessos nas sa\u00eddas.<\/li>\r\n<li><strong>Prote\u00e7\u00e3o dos equipamentos:<\/strong> cifragem de discos, antiv\u00edrus ou EDR e gest\u00e3o dos dispositivos dos colaboradores.<\/li>\r\n<li><strong>Gest\u00e3o de vulnerabilidades:<\/strong> com que frequ\u00eancia se aplicam patches e em que prazo se corrigem as falhas cr\u00edticas.<\/li>\r\n<li><strong>Continuidade:<\/strong> c\u00f3pias de seguran\u00e7a, testes de reposi\u00e7\u00e3o e plano de recupera\u00e7\u00e3o.<\/li>\r\n<li><strong>Incidentes:<\/strong> como s\u00e3o detetados e geridos, e se houve algum relevante.<\/li>\r\n<li><strong>Subcontratados:<\/strong> que terceiros interv\u00eam no servi\u00e7o e como s\u00e3o controlados.<\/li>\r\n<\/ul>\r\n<h3>2. Cl\u00e1usulas contratuais<\/h3>\r\n<p>\u00c9 o contrato que transforma as exig\u00eancias em obriga\u00e7\u00f5es. Com a NIS2, <strong>os contratos com fornecedores cr\u00edticos costumam incluir cl\u00e1usulas<\/strong> sobre os seguintes pontos:<\/p>\r\n<ul>\r\n<li><strong>Medidas m\u00ednimas de seguran\u00e7a:<\/strong> o compromisso de manter controlos concretos, muitas vezes reunidos num anexo de seguran\u00e7a.<\/li>\r\n<li><strong>Notifica\u00e7\u00e3o de incidentes:<\/strong> o prazo, o canal e a informa\u00e7\u00e3o m\u00ednima com que o fornecedor tem de avisar o cliente.<\/li>\r\n<li><strong>Direito de auditoria:<\/strong> a possibilidade de verificar a seguran\u00e7a do fornecedor diretamente ou atrav\u00e9s de relat\u00f3rios de terceiros.<\/li>\r\n<li><strong>Subcontrata\u00e7\u00e3o:<\/strong> a obriga\u00e7\u00e3o de comunicar os subcontratados e de lhes estender as mesmas exig\u00eancias.<\/li>\r\n<li><strong>Continuidade do servi\u00e7o:<\/strong> compromissos de disponibilidade, muitas vezes definidos em SLA, e de recupera\u00e7\u00e3o perante uma interrup\u00e7\u00e3o.<\/li>\r\n<li><strong>Fim da rela\u00e7\u00e3o:<\/strong> devolu\u00e7\u00e3o ou elimina\u00e7\u00e3o dos dados e remo\u00e7\u00e3o de acessos quando o contrato termina.<\/li>\r\n<li><strong>Consequ\u00eancias do incumprimento:<\/strong> penaliza\u00e7\u00f5es, direito de resolu\u00e7\u00e3o do contrato ou indemniza\u00e7\u00f5es.<\/li>\r\n<\/ul>\r\n<p>A cl\u00e1usula de notifica\u00e7\u00e3o \u00e9 a mais negociada, e n\u00e3o \u00e9 por acaso. A <a href=\"https:\/\/factorialhr.pt\/blog\/notificacao-de-incidentes-nis2-prazos-obrigacoes-e-como-cumprir\/\">notifica\u00e7\u00e3o de incidentes NIS2<\/a> obriga a entidade a enviar um alerta precoce ao CNCS em 24 horas e uma notifica\u00e7\u00e3o completa em 72. Se o fornecedor demorar uma semana a avisar, \u00e9 imposs\u00edvel cumprir estes prazos.<\/p>\r\n<h3>3. Certifica\u00e7\u00f5es e evid\u00eancias t\u00e9cnicas<\/h3>\r\n<p><strong>As certifica\u00e7\u00f5es poupam muito trabalho \u00e0s duas partes<\/strong>, porque demonstram que um terceiro independente j\u00e1 verificou a seguran\u00e7a do fornecedor. Estas s\u00e3o as mais comuns:<\/p>\r\n<ul>\r\n<li><strong>ISO 27001:<\/strong> a mais reconhecida na Europa e a que melhor encaixa nas medidas do artigo 21.\u00ba. Se ainda n\u00e3o a tens, vale a pena saber o que implica a <a href=\"https:\/\/factorialhr.pt\/blog\/iso-27001\/\">certifica\u00e7\u00e3o ISO 27001<\/a>.<\/li>\r\n<li><strong>Certifica\u00e7\u00e3o QNRCS:<\/strong> o esquema nacional de certifica\u00e7\u00e3o do CNCS, baseado no Quadro Nacional de Refer\u00eancia para a Ciberseguran\u00e7a. O pr\u00f3prio Decreto-Lei n.\u00ba 125\/2025 admite certifica\u00e7\u00f5es emitidas no \u00e2mbito de esquemas reconhecidos pelo CNCS.<\/li>\r\n<li><strong>SOC 2:<\/strong> frequente em fornecedores de software e servi\u00e7os cloud, sobretudo com clientes internacionais.<\/li>\r\n<li><strong>Relat\u00f3rios de pentest:<\/strong> testes de intrus\u00e3o recentes realizados por uma empresa externa.<\/li>\r\n<\/ul>\r\n<h2>Como cumprir a NIS2 na cadeia de abastecimento?<\/h2>\r\n<p>A maioria das empresas est\u00e1 dos dois lados ao mesmo tempo. Tem fornecedores para controlar e clientes que lhe pedem garantias. Os passos seguintes servem para as duas situa\u00e7\u00f5es e, se os seguires por ordem, cada um facilita o seguinte.<\/p>\r\n<h3>1. Faz o invent\u00e1rio dos teus fornecedores e classifica-os<\/h3>\r\n<p>N\u00e3o \u00e9 poss\u00edvel gerir o risco de um fornecedor que n\u00e3o est\u00e1 registado em lado nenhum. O ponto de partida \u00e9 <strong>uma lista completa de todos os terceiros que acedem aos teus sistemas, tratam os teus dados ou sustentam uma parte da tua opera\u00e7\u00e3o<\/strong>, com o respons\u00e1vel interno, o servi\u00e7o prestado e o n\u00edvel de criticidade. Esta lista encaixa naturalmente no <a href=\"https:\/\/factorialhr.pt\/blog\/inventario-de-ativos-na-nis2\/\">invent\u00e1rio de ativos da NIS2<\/a>, porque muitos desses fornecedores est\u00e3o por tr\u00e1s de ativos que j\u00e1 tens registados, como um servi\u00e7o cloud, uma licen\u00e7a ou um equipamento em renting.<\/p>\r\n<h3>2. Aplica controlos t\u00e9cnicos que consigas demonstrar<\/h3>\r\n<p>S\u00e3o os que mais aparecem nos question\u00e1rios e os que mais depressa melhoram a tua posi\u00e7\u00e3o perante um cliente. Antes de pensares em certifica\u00e7\u00f5es, garante que tens estes cobertos:<\/p>\r\n<ul>\r\n<li><strong>MFA em todas as contas:<\/strong> e-mail, ferramentas de trabalho, acessos remotos e pain\u00e9is de administra\u00e7\u00e3o.<\/li>\r\n<li><strong>Dispositivos geridos:<\/strong> todos os port\u00e1teis e telem\u00f3veis da empresa inventariados, com pol\u00edticas de seguran\u00e7a aplicadas e a possibilidade de os bloquear ou apagar remotamente.<\/li>\r\n<li><strong>Cifragem de discos:<\/strong> ativa em todos os equipamentos, para que a perda de um port\u00e1til n\u00e3o se transforme numa viola\u00e7\u00e3o de dados.<\/li>\r\n<li><strong>Patches em dia:<\/strong> atualiza\u00e7\u00f5es do sistema operativo e das aplica\u00e7\u00f5es instaladas dentro de prazos definidos.<\/li>\r\n<li><strong>Prote\u00e7\u00e3o contra amea\u00e7as:<\/strong> antiv\u00edrus ou EDR em todos os equipamentos, com alertas centralizados.<\/li>\r\n<li><strong>C\u00f3pias de seguran\u00e7a verificadas:<\/strong> com testes de reposi\u00e7\u00e3o peri\u00f3dicos.<\/li>\r\n<li><strong>Sa\u00eddas sem pontas soltas:<\/strong> remo\u00e7\u00e3o de todos os acessos e recolha dos equipamentos quando algu\u00e9m sai da empresa.<\/li>\r\n<\/ul>\r\n<p>O essencial \u00e9 conseguir demonstr\u00e1-lo. Ter os controlos n\u00e3o chega se n\u00e3o conseguires mostrar que funcionam em todos os equipamentos e a toda a hora. \u00c9 por isso que muitas empresas recorrem a uma ferramenta de gest\u00e3o de dispositivos, como se explica no artigo sobre se <a href=\"https:\/\/factorialhr.pt\/blog\/precisa-mdm-nis2\/\">precisas de um MDM para cumprir a NIS2<\/a>.<\/p>\r\n<h3>3. Define como vais comunicar um incidente<\/h3>\r\n<p>Se \u00e9s fornecedor de uma entidade abrangida, o teu contrato provavelmente vai exigir que <strong>a avises numa quest\u00e3o de horas<\/strong>. E isso s\u00f3 \u00e9 poss\u00edvel se o procedimento estiver escrito antes de acontecer alguma coisa. Esse procedimento deve responder a quatro perguntas:<\/p>\r\n<ol>\r\n<li>Quem deteta e avalia o incidente.<\/li>\r\n<li>Quem decide se afeta um cliente.<\/li>\r\n<li>Quem se avisa em cada cliente e por que canal.<\/li>\r\n<li>Que informa\u00e7\u00e3o m\u00ednima se envia na primeira comunica\u00e7\u00e3o.<\/li>\r\n<\/ol>\r\n<h3>4. Rev\u00ea os teus pr\u00f3prios fornecedores e aplica\u00e7\u00f5es SaaS<\/h3>\r\n<p>A cadeia n\u00e3o acaba em ti. <strong>Se o teu cliente te pedir garantias sobre os teus subcontratados<\/strong>, vais ter de as conseguir dar, e isso inclui as ferramentas SaaS que a tua equipa usa para prestar o servi\u00e7o. \u00c9 aqui que surge um risco que costuma passar despercebido, o <em>shadow IT<\/em>. As aplica\u00e7\u00f5es que os colaboradores usam sem que a equipa de IT saiba tamb\u00e9m s\u00e3o fornecedores com acesso aos teus dados, s\u00f3 que ningu\u00e9m os avaliou. No artigo sobre <a href=\"https:\/\/factorialhr.pt\/blog\/nis2-e-saas\/\">NIS2 e SaaS<\/a> tens um m\u00e9todo para as inventariar e controlar os seus acessos.<\/p>\r\n<h3>5. Tem as evid\u00eancias prontas antes de tas pedirem<\/h3>\r\n<p>O fornecedor que chega \u00e0 negocia\u00e7\u00e3o com <strong>a documenta\u00e7\u00e3o preparada transmite maturidade e encurta prazos<\/strong>. Conv\u00e9m ter \u00e0 m\u00e3o uma pol\u00edtica de seguran\u00e7a aprovada, um resumo de uma ou duas p\u00e1ginas com os teus principais controlos, as certifica\u00e7\u00f5es em vigor e os relat\u00f3rios t\u00e9cnicos que comprovam o estado dos teus equipamentos e acessos. Se quiseres perceber em que ponto est\u00e1s, a <a href=\"https:\/\/factorialhr.pt\/blog\/checklist-nis2\/\">checklist da diretiva NIS2<\/a> ajuda-te a detetar lacunas, e o artigo sobre a <a href=\"https:\/\/factorialhr.pt\/blog\/auditoria-nis2\/\">auditoria NIS2<\/a> explica que evid\u00eancias um auditor costuma analisar. Muitas s\u00e3o as mesmas que um cliente te vai pedir.<\/p>\r\n<h2>Como \u00e9 que o Factorial IT ajuda a cumprir a NIS2 na cadeia de abastecimento?<\/h2>\r\n<p>O <a href=\"https:\/\/factorialhr.pt\/factorial-it\">Factorial IT<\/a> cobre os dois lados da cadeia de abastecimento a partir de um \u00fanico lugar. Ajuda-te a controlar os teus fornecedores e, ao mesmo tempo, a demonstrar a tua seguran\u00e7a quando o fornecedor \u00e9s tu. <img decoding=\"async\" class=\"size-large wp-image-202434 aligncenter\" src=\"https:\/\/factorialhr.pt\/wp-content\/uploads\/2026\/09\/18140225\/controles-factorial-it-1024x500.png\" alt=\"controlos do Factorial IT\" width=\"1024\" height=\"500\" srcset=\"https:\/\/factorialhr.pt\/wp-content\/uploads\/2026\/09\/18140225\/controles-factorial-it-1024x500.png 1024w, https:\/\/factorialhr.pt\/wp-content\/uploads\/2026\/09\/18140225\/controles-factorial-it-300x147.png 300w, https:\/\/factorialhr.pt\/wp-content\/uploads\/2026\/09\/18140225\/controles-factorial-it-768x375.png 768w, https:\/\/factorialhr.pt\/wp-content\/uploads\/2026\/09\/18140225\/controles-factorial-it.png 1200w\" sizes=\"(max-width: 1024px) 100vw, 1024px\" \/><\/p>\r\n<ul>\r\n<li><strong>Registo de fornecedores:<\/strong> cada fornecedor fica registado com a sua criticidade, os dados a que acede, o estado da revis\u00e3o e se tem o acordo de tratamento de dados assinado.<\/li>\r\n<li><strong>Riscos ligados a controlos:<\/strong> os riscos de terceiros, como partilhar dados com um fornecedor sem DPA, s\u00e3o avaliados e associados ao controlo que os mitiga.<\/li>\r\n<li><strong>Pol\u00edtica de gest\u00e3o de fornecedores:<\/strong> podes redigi-la e public\u00e1-la a partir da plataforma, associada aos referenciais que cobre, entre eles a NIS2.<\/li>\r\n<li><strong>Evid\u00eancias que se renovam sozinhas:<\/strong> a cifragem dos equipamentos, o estado dos patches ou as sa\u00eddas de utilizadores s\u00e3o recolhidos automaticamente, com aviso antes de expirarem.<\/li>\r\n<li><strong>Trust Center para os teus clientes:<\/strong> uma p\u00e1gina com as tuas pr\u00e1ticas de seguran\u00e7a e o estado real de cada controlo, para responderes a um cliente sem preparar a documenta\u00e7\u00e3o do zero.<\/li>\r\n<\/ul>\r\n<p>O Factorial IT organiza e automatiza o acompanhamento, mas as decis\u00f5es continuam a ser tuas. Que cl\u00e1usulas negociar com cada fornecedor ou que risco assumir depende do teu contexto e, em muitos casos, do teu apoio jur\u00eddico. Se quiseres ver como encaixa no resto das obriga\u00e7\u00f5es, podes ler <a href=\"https:\/\/factorialhr.pt\/blog\/como-e-que-o-factorial-it-ajuda-a-cumprir-nis2\/\">como o Factorial IT ajuda a cumprir a NIS2<\/a>.<\/p>","protected":false},"excerpt":{"rendered":"<p>O fornecedor que faz a manuten\u00e7\u00e3o dos servidores, a consultora que entra remotamente para dar suporte, o software de fatura\u00e7\u00e3o, a plataforma cloud onde est\u00e3o os dados dos clientes. Hoje nenhuma empresa funciona sem uma rede de terceiros, e quase todos t\u00eam algum tipo de acesso aos seus sistemas ou \u00e0 sua informa\u00e7\u00e3o. A NIS2<a href=\"https:\/\/factorial.com\/blog\/pt-pt\/nis2-na-cadeia-de-abastecimento\/\" class=\"read-more\"> [&#8230;]<\/a><\/p>\n","protected":false},"author":352,"featured_media":204524,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1055],"tags":[],"class_list":["post-204521","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-nis2"],"acf":{"topics":"factorial-it"},"yoast_head":"<!-- This site is optimized with the Yoast SEO Premium plugin v21.5 (Yoast SEO v21.9.1) - https:\/\/yoast.com\/wordpress\/plugins\/seo\/ -->\n<title>NIS2 na cadeia de abastecimento | Factorial<\/title>\n<meta name=\"description\" content=\"Tens d\u00favidas sobre a diretiva NIS2 e a cadeia de abastecimento? Explicamos-te tudo o que precisas de saber. Entra e descobre!\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/factorialhr.pt\/blog\/nis2-na-cadeia-de-abastecimento\/\" \/>\n<meta property=\"og:locale\" content=\"en_US\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"NIS2 na cadeia de abastecimento: o que exige aos teus fornecedores e como te preparar\" \/>\n<meta property=\"og:description\" content=\"Tens d\u00favidas sobre a diretiva NIS2 e a cadeia de abastecimento? Explicamos-te tudo o que precisas de saber. Entra e descobre!\" \/>\n<meta property=\"og:url\" content=\"https:\/\/factorialhr.pt\/blog\/nis2-na-cadeia-de-abastecimento\/\" \/>\n<meta property=\"og:site_name\" content=\"Factorial\" \/>\n<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/\" \/>\n<meta property=\"article:published_time\" content=\"2026-10-16T10:44:33+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2026-10-16T10:47:02+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/factorial.com\/wp-content\/uploads\/2026\/10\/16124418\/nis2-cadeia-abastecimento.png\" \/>\n\t<meta property=\"og:image:width\" content=\"1800\" \/>\n\t<meta property=\"og:image:height\" content=\"976\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"author\" content=\"Enrique Quiroga\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:creator\" content=\"@factorialapp\" \/>\n<meta name=\"twitter:site\" content=\"@factorialapp\" \/>\n<meta name=\"twitter:label1\" content=\"Written by\" \/>\n\t<meta name=\"twitter:data1\" content=\"Enrique Quiroga\" \/>\n\t<meta name=\"twitter:label2\" content=\"Est. reading time\" \/>\n\t<meta name=\"twitter:data2\" content=\"13 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\/\/factorial.com\/blog\/pt-pt\/nis2-na-cadeia-de-abastecimento\/#article\",\"isPartOf\":{\"@id\":\"https:\/\/factorial.com\/blog\/pt-pt\/nis2-na-cadeia-de-abastecimento\/\"},\"author\":{\"name\":\"Enrique Quiroga\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014\"},\"headline\":\"NIS2 na cadeia de abastecimento: o que exige aos teus fornecedores e como te preparar\",\"datePublished\":\"2026-10-16T10:44:33+00:00\",\"dateModified\":\"2026-10-16T10:47:02+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\/\/factorial.com\/blog\/pt-pt\/nis2-na-cadeia-de-abastecimento\/\"},\"wordCount\":2940,\"publisher\":{\"@id\":\"https:\/\/factorial.com\/blog\/#organization\"},\"articleSection\":[\"NIS2\"],\"inLanguage\":\"en-US\"},{\"@type\":\"WebPage\",\"@id\":\"https:\/\/factorial.com\/blog\/pt-pt\/nis2-na-cadeia-de-abastecimento\/\",\"url\":\"https:\/\/factorial.com\/blog\/pt-pt\/nis2-na-cadeia-de-abastecimento\/\",\"name\":\"NIS2 na cadeia de abastecimento | Factorial\",\"isPartOf\":{\"@id\":\"https:\/\/factorial.com\/blog\/#website\"},\"datePublished\":\"2026-10-16T10:44:33+00:00\",\"dateModified\":\"2026-10-16T10:47:02+00:00\",\"description\":\"Tens d\u00favidas sobre a diretiva NIS2 e a cadeia de abastecimento? Explicamos-te tudo o que precisas de saber. Entra e descobre!\",\"inLanguage\":\"en-US\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/factorial.com\/blog\/pt-pt\/nis2-na-cadeia-de-abastecimento\/\"]}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/factorial.com\/blog\/#website\",\"url\":\"https:\/\/factorial.com\/blog\/\",\"name\":\"Factorial\",\"description\":\"\",\"publisher\":{\"@id\":\"https:\/\/factorial.com\/blog\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/factorial.com\/blog\/?s={search_term_string}\"},\"query-input\":\"required name=search_term_string\"}],\"inLanguage\":\"en-US\"},{\"@type\":\"Organization\",\"@id\":\"https:\/\/factorial.com\/blog\/#organization\",\"name\":\"All-in-one business management software - Factorial\",\"url\":\"https:\/\/factorial.com\/blog\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/\",\"url\":\"https:\/\/factorialhr.pt\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png\",\"contentUrl\":\"https:\/\/factorialhr.pt\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png\",\"width\":946,\"height\":880,\"caption\":\"All-in-one business management software - Factorial\"},\"image\":{\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/\"},\"sameAs\":[\"https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/\",\"https:\/\/twitter.com\/factorialapp\",\"https:\/\/www.linkedin.com\/company\/factorialhr\",\"https:\/\/www.youtube.com\/@factorialmedia\",\"https:\/\/www.instagram.com\/factorial\/#\"]},{\"@type\":\"Person\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014\",\"name\":\"Enrique Quiroga\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/person\/image\/\",\"url\":\"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g\",\"contentUrl\":\"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g\",\"caption\":\"Enrique Quiroga\"},\"url\":\"https:\/\/factorial.com\/blog\/author\/enrique-quiroga\/\"}]}<\/script>\n<!-- \/ Yoast SEO Premium plugin. -->","yoast_head_json":{"title":"NIS2 na cadeia de abastecimento | Factorial","description":"Tens d\u00favidas sobre a diretiva NIS2 e a cadeia de abastecimento? Explicamos-te tudo o que precisas de saber. Entra e descobre!","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/factorialhr.pt\/blog\/nis2-na-cadeia-de-abastecimento\/","og_locale":"en_US","og_type":"article","og_title":"NIS2 na cadeia de abastecimento: o que exige aos teus fornecedores e como te preparar","og_description":"Tens d\u00favidas sobre a diretiva NIS2 e a cadeia de abastecimento? Explicamos-te tudo o que precisas de saber. Entra e descobre!","og_url":"https:\/\/factorialhr.pt\/blog\/nis2-na-cadeia-de-abastecimento\/","og_site_name":"Factorial","article_publisher":"https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/","article_published_time":"2026-10-16T10:44:33+00:00","article_modified_time":"2026-10-16T10:47:02+00:00","og_image":[{"width":1800,"height":976,"url":"https:\/\/factorial.com\/wp-content\/uploads\/2026\/10\/16124418\/nis2-cadeia-abastecimento.png","type":"image\/png"}],"author":"Enrique Quiroga","twitter_card":"summary_large_image","twitter_creator":"@factorialapp","twitter_site":"@factorialapp","twitter_misc":{"Written by":"Enrique Quiroga","Est. reading time":"13 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/factorial.com\/blog\/pt-pt\/nis2-na-cadeia-de-abastecimento\/#article","isPartOf":{"@id":"https:\/\/factorial.com\/blog\/pt-pt\/nis2-na-cadeia-de-abastecimento\/"},"author":{"name":"Enrique Quiroga","@id":"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014"},"headline":"NIS2 na cadeia de abastecimento: o que exige aos teus fornecedores e como te preparar","datePublished":"2026-10-16T10:44:33+00:00","dateModified":"2026-10-16T10:47:02+00:00","mainEntityOfPage":{"@id":"https:\/\/factorial.com\/blog\/pt-pt\/nis2-na-cadeia-de-abastecimento\/"},"wordCount":2940,"publisher":{"@id":"https:\/\/factorial.com\/blog\/#organization"},"articleSection":["NIS2"],"inLanguage":"en-US"},{"@type":"WebPage","@id":"https:\/\/factorial.com\/blog\/pt-pt\/nis2-na-cadeia-de-abastecimento\/","url":"https:\/\/factorial.com\/blog\/pt-pt\/nis2-na-cadeia-de-abastecimento\/","name":"NIS2 na cadeia de abastecimento | Factorial","isPartOf":{"@id":"https:\/\/factorial.com\/blog\/#website"},"datePublished":"2026-10-16T10:44:33+00:00","dateModified":"2026-10-16T10:47:02+00:00","description":"Tens d\u00favidas sobre a diretiva NIS2 e a cadeia de abastecimento? Explicamos-te tudo o que precisas de saber. Entra e descobre!","inLanguage":"en-US","potentialAction":[{"@type":"ReadAction","target":["https:\/\/factorial.com\/blog\/pt-pt\/nis2-na-cadeia-de-abastecimento\/"]}]},{"@type":"WebSite","@id":"https:\/\/factorial.com\/blog\/#website","url":"https:\/\/factorial.com\/blog\/","name":"Factorial","description":"","publisher":{"@id":"https:\/\/factorial.com\/blog\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/factorial.com\/blog\/?s={search_term_string}"},"query-input":"required name=search_term_string"}],"inLanguage":"en-US"},{"@type":"Organization","@id":"https:\/\/factorial.com\/blog\/#organization","name":"All-in-one business management software - Factorial","url":"https:\/\/factorial.com\/blog\/","logo":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/","url":"https:\/\/factorialhr.pt\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png","contentUrl":"https:\/\/factorialhr.pt\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png","width":946,"height":880,"caption":"All-in-one business management software - Factorial"},"image":{"@id":"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/","https:\/\/twitter.com\/factorialapp","https:\/\/www.linkedin.com\/company\/factorialhr","https:\/\/www.youtube.com\/@factorialmedia","https:\/\/www.instagram.com\/factorial\/#"]},{"@type":"Person","@id":"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014","name":"Enrique Quiroga","image":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/factorial.com\/blog\/#\/schema\/person\/image\/","url":"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g","caption":"Enrique Quiroga"},"url":"https:\/\/factorial.com\/blog\/author\/enrique-quiroga\/"}]}},"_links":{"self":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts\/204521"}],"collection":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/users\/352"}],"replies":[{"embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/comments?post=204521"}],"version-history":[{"count":3,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts\/204521\/revisions"}],"predecessor-version":[{"id":204525,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts\/204521\/revisions\/204525"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/media\/204524"}],"wp:attachment":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/media?parent=204521"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/categories?post=204521"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/tags?post=204521"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}