Onboarding de fornecedores ao abrigo da NIS2: o que exige o § 30 da BSIG quanto à cadeia de abastecimento?

A lei do BSI, na redação dada pela lei de transposição da Diretiva NIS2 (Jornal Oficial Federal, BGBl. 2025 I n.º 301), distingue entre entidades essenciais e entidades importantes (§ 28 da BSIG). Determinantes são o tipo de entidade segundo os anexos 1 e 2 – por exemplo, energia, transportes, setor financeiro, serviços postais e de estafeta ou indústria transformadora – e a dimensão.

Uma entidade do anexo 1 é essencial a partir de 250 trabalhadores ou de um volume de negócios anual superior a 50 milhões de euros e, simultaneamente, um balanço total superior a 43 milhões de euros. Uma entidade dos anexos 1 ou 2 é importante a partir de 50 trabalhadores ou de um volume de negócios e um balanço total superiores, cada um, a 10 milhões de euros. Algumas entidades, como os operadores de instalações críticas, são abrangidas independentemente da sua dimensão.

Os fornecedores não precisam de estar eles próprios abrangidos pela lei para sentirem os seus efeitos: os seus clientes têm de demonstrar a segurança da relação de fornecimento e, por isso, transmitem-lhes os requisitos.

O § 30, n.º 2, enumera dez medidas que a gestão de riscos tem de incluir, no mínimo. O ponto 4 refere a segurança da cadeia de abastecimento, incluindo os aspetos relacionados com a segurança das relações com os fornecedores diretos ou prestadores de serviços. O ponto 5 acrescenta a segurança na aquisição, no desenvolvimento e na manutenção, incluindo o tratamento e a divulgação de vulnerabilidades.

A Diretiva (UE) 2022/2555 é mais concreta neste ponto: nos termos do artigo 21.º, n.º 3, as entidades têm em conta as vulnerabilidades específicas de cada fornecedor direto, bem como a qualidade geral dos produtos e das práticas de cibersegurança dos seus fornecedores. Este número não é reproduzido literalmente na lei alemã; a exposição de motivos (documento do Bundestag, BT-Drucksache 21/1501) remete para ele nas notas ao § 30.

A lei não prescreve um questionário fixo. Revelaram-se úteis quatro passos: classificar os fornecedores por criticidade (que dados, sistemas e processos tocam?), definir requisitos mínimos por classe, verificar o cumprimento com base em comprovativos e arquivar o resultado de forma a poder apresentá-lo numa auditoria.

Os requisitos típicos abrangem a proteção de acessos, como a autenticação multifator, a encriptação, a gestão de vulnerabilidades e de correções (patches), a preparação para emergências, os canais de comunicação de incidentes de segurança e certificações como a ISO/IEC 27001. Se o fornecedor tratar dados pessoais por conta do cliente, acresce o contrato nos termos do art. 28.º do RGPD.

A verificação não é um ato pontual: os certificados expiram, os subcontratados mudam, os requisitos evoluem. Os controlos recorrentes fazem, por isso, parte da gestão de riscos.

Nos termos do § 33 da BSIG, as entidades abrangidas têm de se registar junto do BSI, o mais tardar, três meses depois de serem consideradas entidade pela primeira vez. Segundo o BSI, este prazo já expirou para as entidades que já estavam abrangidas aquando da entrada em vigor; estas têm de efetuar o registo sem demora.

Os órgãos de direção têm de aplicar as medidas de gestão de riscos e supervisionar a sua aplicação (§ 38, n.º 1, da BSIG), bem como participar regularmente em formações (§ 38, n.º 3, da BSIG).

Nos termos do § 65 da BSIG, as infrações ao § 30 podem ser punidas com coimas até 10 milhões de euros para entidades essenciais e até 7 milhões de euros para entidades importantes. Com um volume de negócios anual a nível mundial superior a 500 milhões de euros, o limite máximo é de 2 % ou 1,4 % desse volume de negócios, respetivamente.

A Vendo4u não representa os requisitos como um questionário por cliente, mas como um catálogo comum: os fornecedores registam uma única vez as suas informações sobre segurança da informação, proteção de dados e continuidade do negócio e fundamentam-nas com documentos associados a cada critério. Os compradores filtram pelos seus requisitos mínimos, comparam fornecedores e exportam o perfil com os comprovativos para a sua própria documentação.

O dever de avaliação continua a caber à entidade. A Vendo4u fornece-lhe uma base uniforme e rastreável.