Como referido no artigo anterior dedicado ao Regulamento n.º 756/2026, a segurança da cadeia de abastecimento integra o núcleo de obrigações do Regime Jurídico da Cibersegurança (RJC) sujeitas ao período transitório (Art.º 10.º, n.º 2, do Decreto-Lei n.º 125/2025). Esse prazo não deve, porém, ser confundido com uma dispensa de preparação: a complexidade da avaliação de risco de terceiros e o tempo necessário para rever contratos em vigor recomendam que o processo se inicie desde já, sob pena das organizações chegarem ao termo do período transitório sem visibilidade sobre a sua própria cadeia de fornecimento.
O RJC estrutura as obrigações de gestão de risco em três planos articulados: o sistema de gestão de riscos de cibersegurança (Art.º 26.º), as medidas de cibersegurança dele decorrentes (Art.º 27.º) e, de forma autónoma, a segurança da cadeia de abastecimento (Art.º 28.º). Esta última extensão, que reflete o considerando 85 da Diretiva (UE) 2022/2555 (NIS2), impõe às entidades essenciais e importantes o dever de avaliar e controlar o risco associado aos seus fornecedores e prestadores de serviços diretos, ponderando não apenas as vulnerabilidades específicas de cada relação contratual, mas também a qualidade geral e a resiliência das práticas de cibersegurança adotadas por esses terceiros.
Na prática, este dever traduz-se na necessidade de definir critérios mínimos de segurança exigíveis a fornecedores e prestadores críticos, de os incorporar contratualmente — através de cláusulas de cibersegurança, direitos de auditoria e obrigações de notificação de incidentes — e de assegurar a sua monitorização contínua ao longo de toda a relação, e não apenas no momento da contratação. A entidade pode ainda ficar sujeita a decisões públicas que determinem a restrição ou cessação do uso de produtos e serviços de TIC classificados como de elevado risco (Art.º 18.º, n.º 3, do RJC), o que reforça a necessidade de mapear, desde já, a cadeia de fornecimento crítica de cada organização.
É aqui que se revela o efeito de amplificação que importa antecipar: prestadores de serviços que não estão, eles próprios, diretamente abrangidos pelo RJC por não atingirem os limiares de dimensão ou de setor que determinam a sujeição ao regime passam, ainda assim, a ser avaliados, selecionados e contratualmente vinculados com base em critérios de cibersegurança oriundos do RJC, sempre que a relação seja qualificada como crítica. Essa abrangência não depende do setor ou da natureza do prestador, mas da criticidade da relação: em concreto, se uma eventual falha desse fornecedor é suscetível de comprometer a continuidade do serviço essencial ou importante da entidade que o contrata. É esse critério, e não o tipo de serviço prestado, que determina se um fornecedor formalmente fora do âmbito do RJC se verá, ainda assim, confrontado com questionários de due diligence, cláusulas contratuais e exigências de segurança que replicam, na prática, obrigações do regime a que não está diretamente sujeito.
Este efeito estende-se, em maior ou menor grau, a toda a cadeia de abastecimento, sendo tanto mais intenso quanto maior for a posição de acesso do prestador aos sistemas e dados da entidade que serve. Do lado das entidades essenciais e importantes, a resposta passa por mapear e classificar fornecedores e prestadores por criticidade, rever os contratos em vigor à luz dos novos critérios e preparar processos de avaliação e reavaliação periódica que possam ser demonstrados perante o CNCS em caso de fiscalização.
Ainda que estas obrigações só produzam efeitos plenos no termo do período transitório aplicável, a sua transposição para a prática contratual não se resolve da noite para o dia, pelo que importa às organizações, abrangidas ou não diretamente pelo RJC, começar desde já a preparar-se. Precisamente por decorrer desta mesma lógica de responsabilização, a responsabilidade pessoal da gestão de topo será objeto do próximo artigo desta série, dedicado ao Regime Jurídico de Cibersegurança e ao que distingue a responsabilidade da entidade da responsabilidade pessoal dos seus órgãos de gestão, direção e administração.
Enquanto consultora e prestadora de serviços tecnológicos, esta é uma matéria que a F3M acompanha de perto junto dos seus clientes e dos respetivos fornecedores, apoiando a adaptação de processos e contratos às novas exigências de cibersegurança.
