--- title: "A conformidade por procuração não escala | Guardian360" description: "A Cyberbeveiligingswet obriga cerca de 8.000 organizações nos Países Baixos, mas a questão da conformidade recai sobre os mais de 100.000 fornecedores abaixo delas. Porque é que o modelo de questionário um-para-um se desmorona à escala, e como deveria realmente ser demonstrar o que se faz." url: https://guardian360.net/pt/blog/compliance-by-proxy-doesnt-scale/ locale: en source: guardian360.net --- [← Todos os artigos](https://guardian360.net/pt/blog/) Conformidade # A conformidade por procuração não escala Por Jan Martijn Broekhof · 18 de agosto de 2026 A Cyberbeveiligingswet entrou em vigor a 15 de agosto de 2026, formalizando novas obrigações para cerca de 8.000 organizações nos Países Baixos (Rijksoverheid, 2026). O mercado de consultoria levou meses a preparar-se para esta data, e quase toda essa preparação foi dirigida a um grupo: as entidades essenciais e importantes agora diretamente obrigadas pela nova lei. Os consultores ficaram com a agenda esgotada a ajudar essas organizações a mapear as suas medidas de dever de diligência, a registar-se junto do NCSC e a pôr a sua governação em ordem. Assume, de forma conservadora, que cada uma dessas 8.000 organizações depende de pelo menos vinte fornecedores, e o número de empresas agora confrontadas com uma questão de conformidade por causa desta lei, sem serem elas próprias diretamente reguladas, já ultrapassa confortavelmente os 100.000. A NFIR reparou noutra coisa enquanto fazia exatamente esse trabalho de consultoria. Sentada dentro dessas conversas, vezes sem conta, aparecia a mesma lacuna: a organização obrigada estava, ela própria, normalmente em condições razoáveis, muitas vezes já certificada pela ISO 27001 ou bem encaminhada, mas os seus fornecedores não estavam. Esses fornecedores não tinham certificado para apresentar, não tinham uma forma comum de demonstrar a sua postura de segurança, e não faziam ideia de como responder à questão de conformidade que estava prestes a chegar à sua caixa de entrada, vinda de vários clientes ao mesmo tempo. A Bizway viu o mesmo problema pelo outro lado. Sendo ela própria uma fornecedora, a Bizway já tinha começado a notar um aumento exatamente deste tipo de pedidos: clientes a perguntar, por vezes formalmente e por vezes como um à-parte numa revisão de conta, como é que a Bizway conseguia demonstrar que cumpria as expectativas relacionadas com a NIS2. Duas organizações, dois pontos de vista, a mesma observação: a pressão desta lei nunca ia ficar contida nas 8.000 empresas diretamente reguladas. Ia sempre chegar uma camada abaixo, às pessoas que as abastecem. ## Porque é que o teu cliente te está de repente a pedir uma declaração de conformidade? Isto não é coincidência, e não é gestão de conta excessivamente zelosa. O artigo 21.º da Diretiva NIS2 exige que as entidades essenciais e importantes giram a segurança da sua cadeia de fornecimento, incluindo os aspetos relacionados com a segurança das suas relações com os fornecedores diretos (ENISA, 2023). Na prática, essa obrigação não pode ficar dentro da organização regulada. Tem de ser transmitida para baixo, para os contratos, as listas de verificação de onboarding e, de forma mais visível, para uma questão de conformidade dirigida a cada fornecedor de que a organização depende. A própria análise da ENISA sobre a cibersegurança da cadeia de fornecimento, publicada em 2023 e ainda a referência da UE mais citada sobre este mecanismo, concluiu que os comprometimentos da cadeia de fornecimento tinham crescido de menos de 1 por cento das intrusões em 2020 para 17 por cento em 2021. Em 66 por cento dos incidentes que examinou, o fornecedor afetado não sabia como tinha sido comprometido, ou não conseguia explicá-lo de forma transparente ao cliente que dele dependia. É precisamente essa a lacuna que a Cyberbeveiligingswet foi concebida para fechar, e precisamente por isso que uma organização regulada tem agora todos os incentivos para pedir aos seus fornecedores que demonstrem o que fazem, em vez de o aceitar por confiança. ## Um certificado não é a resposta óbvia? A resposta arrumada seria cada fornecedor obter a certificação ISO 27001 e dar o assunto por encerrado. Para um punhado de fornecedores maiores, esse é um caminho sensato, e alguns já o estão a fazer. Para a maioria, não é realista, e é discutível se sequer é necessário. Um certificado é caro, demora meses a obter e foi feito para organizações de uma certa dimensão e maturidade. Muitos fornecedores que não representam qualquer risco significativo para a conformidade NIS2 dos seus clientes estão a ser-lhes pedidos, implicitamente, que se comportem como se representassem. O que esses fornecedores realmente precisam não é de um certificado. É de uma forma credível e comprovada de responder à pergunta que lhes está a ser feita, sustentada por algo mais sólido do que um e-mail tranquilizador. ## O que acontece quando um fornecedor recebe a mesma pergunta cinquenta vezes? Aqui o problema agrava-se. Um fornecedor raramente tem um único cliente a fazer esta pergunta; tem vários, cada um com um formulário ligeiramente diferente, um prazo diferente e um conjunto diferente de respostas esperadas. A análise setorial da ISACA de maio de 2026 descreve isto diretamente como uma mudança da fadiga de questionários para a necessidade de garantias contextuais e sustentadas em evidências, notando que o antigo modelo de questionários pontuais e ad hoc simplesmente não escala assim que todos os clientes começam a perguntar de forma independente (ISACA, 2026). Multiplica isso pelo número de clientes que um fornecedor de média dimensão serve, e o fornecedor acaba a passar mais tempo a preencher formulários do que a melhorar de facto a sua segurança. Isto não é uma falha da diligência de nenhum fornecedor em particular. É uma falha estrutural de um modelo construído para perguntas ocasionais, agora feito continuamente e em simultâneo por toda a gente ao mesmo tempo. ## Não seria um questionário à medida de cada cliente mais rigoroso? Há um argumento real a favor da abordagem atual. Um cliente que redige o seu próprio questionário pode adaptá-lo com precisão ao risco que aquele fornecedor representa para ele: um fornecedor que trata de dados sensíveis recebe perguntas diferentes de um que fornece mobiliário de escritório com um leitor de crachás ligado à internet. Os questionários à medida também mantêm a propriedade e a responsabilidade exatamente onde a NIS2 as coloca, na própria organização regulada, e não num modelo partilhado que ninguém reviu. O problema é que este rigor só funciona a pequena escala. Assim que uma organização tem de avaliar dezenas ou centenas de fornecedores, e assim que cada um desses fornecedores está a responder ao mesmo pedido de vários clientes em paralelo, um processo manual e à medida não se torna mais preciso com o volume. Torna-se mais lento, mais inconsistente e mais provável de ser respondido superficialmente só para o tirar da secretária de alguém. Uma precisão comprada à custa da conclusão não serve de muito a ninguém. ## O que significa, na prática, “demonstrar o que se faz”? É este o problema a que se dirige a nova funcionalidade de questionários de conformidade do Lighthouse, construída em conjunto com a NFIR e a Bizway. Dá a uma organização questionários NIS2/Cbw padronizados, em variantes ajustadas a se o seu cliente é uma entidade essencial ou importante, para que um fornecedor possa preencher algo proporcional à obrigação real, em vez de um cenário maximalista de pior caso. As respostas não se reduzem a sim ou não; cada uma traz consigo evidências, uma explicação ou uma data prevista quando algo ainda está em curso, e cada resposta tem carimbo temporal com um registo de auditoria. A mudança mais útil é o que acontece depois da primeira resposta. Um fornecedor pode responder uma vez, anexar as evidências e reutilizar essa prova atestada da próxima vez que um cliente diferente fizer a mesma pergunta, em vez de começar de um formulário em branco de cada vez. Melhor ainda, um fornecedor nem sequer tem de esperar pelo pedido: o mesmo questionário preenchido pode ser partilhado proativamente com todos os clientes ao mesmo tempo, antecipando a pergunta antes de ela sequer chegar. Do lado do cliente, uma organização pode registar os fornecedores de que depende, enviar a cada um o questionário adequado em seu próprio nome, e ver uma vista em tempo real de onde está toda a cadeia, com a reavaliação a um clique de distância no ciclo seguinte. Os questionários estão incluídos sem custo adicional para os parceiros da Guardian360 e os seus clientes, por isso o orçamento não é razão para deixar isto para o próximo trimestre. A Guardian360 é explícita em que esta é uma ferramenta de preparação, não uma certificação: não substitui uma auditoria formal ou uma avaliação de conformidade, e não o pretende. O que substitui são as cinquenta folhas de cálculo separadas que ninguém teve tempo de comparar. ## O objetivo nunca foram as 8.000 Vale a pena voltar ao ponto de partida. A NIS2, e a Cyberbeveiligingswet que a transpõe, nunca tiveram realmente que ver com blindar 8.000 organizações isoladamente. Toda a lógica do requisito de cadeia de fornecimento do artigo 21.º é que a segurança de uma organização regulada é apenas tão boa quanto a dos fornecedores abaixo dela. Trata a lei como um exercício de conformidade para as empresas nomeadas no seu âmbito, e a verdadeira ambição, elevar o patamar de segurança de toda uma cadeia de fornecimento de bem mais de 100.000 empresas, falha silenciosamente logo no primeiro elo fora desse âmbito. A NFIR detetou isto da cadeira da consultoria, ao ver organização após organização a pôr a sua própria casa em ordem enquanto os seus fornecedores não tinham para onde se virar. A Bizway detetou-o do lado de quem recebe, a responder à mesma pergunta cada vez mais vezes e com cada vez menos paciência. As duas observações apontam para a mesma conclusão: a conformidade por procuração, um cliente, um questionário, um fornecedor de cada vez, não escala para a dimensão do problema que a NIS2 foi escrita para resolver. Construir para a camada abaixo das 8.000 não é um projeto secundário. Está mais perto do verdadeiro objetivo da lei do que a corrida à certificação alguma vez esteve. ## Fontes - Rijksoverheid (7 de julho de 2026). [Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht](https://www.rijksoverheid.nl/actueel/nieuws/2026/07/07/cyberbeveiligingswet-en-wet-weerbaarheid-kritieke-entiteiten-vanaf-15-augustus-2026-van-kracht). - NCSC. [Cyberbeveiligingswet (NIS2)](https://www.ncsc.nl/cyberbeveiligingswet-nis2). - ENISA (junho de 2023). [Good Practices for Supply Chain Cybersecurity](https://www.enisa.europa.eu/publications/good-practices-for-supply-chain-cybersecurity). - ISACA (4 de maio de 2026). [Enhancing Third Party Risk Management: Moving From Questionnaire Fatigue to Contextual Assurance](https://www.isaca.org/resources/news-and-trends/industry-news/2026/enhancing-third-party-risk-management-moving-from-questionnaire-fatigue-to-contextual-assurance).