Daniel Bermejo · Cofundador e Diretor de Tecnologia, Trusty · Fundador em série, ex-PwC, IBM e Roche · Antigo diretor-geral da Startup Invest
Um fornecedor de cloud fica offline.
Um fornecedor de software sofre uma falha de segurança.
Um fornecedor de serviços de segurança geridos é comprometido.
Um subcontratado introduz uma vulnerabilidade na sua rede.
Tanto no âmbito do DORA como da NIS2, dizer que “o problema ocorreu no nosso fornecedor” não elimina necessariamente a sua responsabilidade.
Mas os dois regimes de cibersegurança da UE abordam o risco de terceiros de forma diferente.
numa única plataforma
Mantenha a documentação dos seus fornecedores pronta para auditoria. Monitorize quais os fornecedores que suportam funções críticas, recolha a diligência devida e guarde as provas que os reguladores esperam, tudo num só lugar.
DORA vs NIS2 num relance
DORA | NIS2 | |
|---|---|---|
Nome completo | Regulamento relativo à resiliência operacional digital | Diretiva NIS2 |
Foco principal | Resiliência operacional digital no setor financeiro | Cibersegurança em setores essenciais e importantes |
Foco em terceiros | Prestadores de serviços de TIC terceiros | Fornecedores diretos e prestadores de serviços relevantes para a cibersegurança/segurança da cadeia de abastecimento |
Registo de fornecedores | Registo detalhado de acordos contratuais de TIC | Não existe um requisito de registo universal equivalente ao estilo DORA |
Avaliação de criticidade | Foco principal | Avaliação da cadeia de abastecimento baseada no risco |
Requisitos contratuais | Requisitos detalhados, especialmente para funções críticas ou importantes | Os requisitos de cibersegurança devem ser abordados nas relações com os fornecedores, conforme adequado |
Subcontratação | Especificamente relevante no âmbito do quadro DORA | Os riscos da cadeia de abastecimento podem estender-se para além dos fornecedores diretos |
A responsabilidade pode ser subcontratada? | Não | Não há transferência simples de responsabilidade de cibersegurança |
Regulamento ou diretiva? | Regulamento da UE | Diretiva transposta através da legislação nacional |
O que exige o DORA para o risco de terceiros?
O DORA aplica-se a uma vasta gama de entidades financeiras e cria um quadro dedicado à gestão do risco de TIC de terceiros.
O seu princípio básico é simples:
A utilização de um prestador de TIC externo não externaliza a sua responsabilidade regulamentar.
Uma entidade financeira continua a ser responsável pelo cumprimento do DORA, mesmo quando um serviço de TIC é prestado por um terceiro.
Isso torna a supervisão de fornecedores uma questão de governação contínua, em vez de um simples exercício de aquisição.
Que terceiros contam para o DORA?
O DORA foca-se em fornecedores de serviços de TIC terceiros.
Os exemplos podem incluir fornecedores de:
- infraestrutura de cloud;
- software;
- alojamento de dados;
- centros de dados;
- serviços de TI geridos;
- serviços de cibersegurança;
- processamento de dados;
- plataformas tecnológicas;
- infraestrutura de rede;
- certas funções de TIC externalizadas.
A questão fundamental é saber se o terceiro fornece um serviço de TIC utilizado pela entidade financeira.
Nem todos os fornecedores necessitam, portanto, de um tratamento DORA idêntico.
O seu fornecedor de café para o escritório não pertence à mesma categoria de risco que a plataforma de nuvem que executa um processo bancário central.
E quanto às funções críticas ou importantes?
O DORA coloca particular ênfase nos serviços de TIC que suportam uma função crítica ou importante.
Antes de celebrarem certos acordos de TIC, as entidades financeiras precisam de avaliar fatores como se o serviço suporta uma função crítica ou importante e os riscos decorrentes do acordo.
Isso pode afetar:
- diligência devida;
- requisitos contratuais;
- análise de risco de concentração;
- monitorização;
- direitos de auditoria/acesso;
- planeamento de saída;
- controlos de subcontratação.
Isto significa que a classificação dos fornecedores é importante.
Um inventário DORA útil não deve dizer simplesmente:
Fornecedor: Empresa de Cloud
Deve captar algo mais próximo de:
Fornecedor → serviço de TIC → função de negócio → criticidade → dados → localização → subcontratados → risco → contrato → monitorização → estratégia de saída
O DORA exige um registo de fornecedores terceiros?
O DORA exige que as entidades financeiras mantenham um registo de informações que abranja os acordos contratuais relativos a serviços de TIC prestados por terceiros.
Essa é uma das diferenças mais claras entre o DORA e um programa genérico de gestão de fornecedores.
A organização precisa de saber não apenas quem são os seus fornecedores, mas como os serviços de TIC se mapeiam nos acordos contratuais e nas funções de negócio.
Este registo é também importante para a visibilidade da supervisão sobre as dependências de TIC.
Precisa de monitorizar todos os fornecedores de TIC do DORA de igual forma?
Não.
O DORA utiliza explicitamente a proporcionalidade.
O nível de supervisão deve considerar fatores como:
- a natureza da dependência de TIC;
- escala e complexidade;
- importância do serviço;
- se suporta uma função crítica ou importante;
- o impacto potencial de uma interrupção;
- risco de concentração;
- substituibilidade;
- subcontratação;
- dependências geográficas ou operacionais.
Isso cria uma abordagem por níveis ao risco do fornecedor.
Identificar todos os acordos de TIC relevantes → classificá-los → aplicar controlos mais fortes onde o risco é maior.
de TIC críticos
Precisa de demonstrar uma supervisão proporcionada? A Trusty monitoriza quais os fornecedores que suportam funções críticas ou importantes, recolhe a diligência devida e mantém as provas que os reguladores esperam, tudo num só lugar.
O que exige a NIS2 para terceiros?
A NIS2 adota uma abordagem mais ampla de cibersegurança e da cadeia de abastecimento.
O artigo 21.º exige que as entidades essenciais e importantes abrangidas implementem medidas de gestão de riscos de cibersegurança adequadas e proporcionadas.
Uma medida especificamente listada é:
a segurança da cadeia de abastecimento, incluindo aspetos relacionados com a segurança no que diz respeito às relações com os fornecedores ou prestadores de serviços diretos de cada entidade.
Isto significa que a cibersegurança dos fornecedores faz expressamente parte da conformidade com a NIS2.
Que fornecedores deve avaliar no âmbito da NIS2?
A NIS2 coloca particular ênfase nos fornecedores e prestadores de serviços diretos.
Ao decidir quais as medidas adequadas, as organizações devem considerar:
- vulnerabilidades específicas de cada fornecedor ou prestador de serviços direto;
- a qualidade global dos seus produtos;
- práticas de cibersegurança;
- procedimentos de desenvolvimento seguro;
- resiliência de serviços ou produtos;
- dependências relevantes da cadeia de abastecimento.
A análise vai, portanto, além de perguntar se um fornecedor tem um certificado de cibersegurança.
Precisa de compreender que risco o fornecedor introduz na sua rede e nos seus sistemas de informação.
Que tipos de fornecedores NIS2 criam riscos particulares?
Dependendo da organização, os terceiros relevantes podem incluir:
- fornecedores de cloud;
- centros de dados;
- fornecedores de software;
- fornecedores de SaaS;
- prestadores de serviços geridos;
- prestadores de serviços de segurança geridos;
- consultores de TI;
- fornecedores de alojamento;
- fornecedores de comunicações;
- fornecedores de hardware crítico;
- fornecedores de processamento de dados.
A NIS2 destaca especificamente riscos que envolvem prestadores como serviços de armazenamento e processamento de dados, prestadores de serviços de segurança geridos e fornecedores de software.
A NIS2 abrange apenas fornecedores diretos?
O requisito legal de segurança da cadeia de abastecimento refere-se especificamente a aspetos de segurança das relações com fornecedores ou prestadores de serviços diretos.
Mas isso não significa que os riscos mais profundos da cadeia de abastecimento possam ser sempre ignorados.
Os considerandos da NIS2 reconhecem expressamente que as organizações podem considerar riscos decorrentes de outros níveis de fornecedores e prestadores de serviços.
Isso torna-se particularmente relevante quando:
- um fornecedor crítico depende fortemente de um subcontratado;
- o software incorpora componentes de terceiros vulneráveis;
- existe um ponto único de falha;
- um fornecedor tem uma concentração geográfica significativa;
- um fornecedor depende de outro fornecedor de infraestruturas críticas.
Portanto, a questão prática não é apenas:
“Este é o nosso fornecedor direto?”
É também:
“Poderia uma dependência mais profunda comprometer materialmente a nossa cibersegurança?”
DORA vs NIS2: quem deve monitorizar?
Uma distinção útil é:
Ao abrigo do DORA
Comece por mapear os seus prestadores de serviços de TIC terceiros.
Depois, identifique quais os serviços que suportam funções críticas ou importantes.
Esses acordos merecem uma avaliação particularmente robusta, controlos contratuais e supervisão contínua.
Ao abrigo da NIS2
Comece pelos fornecedores e prestadores de serviços diretos que podem afetar a segurança da sua rede e dos seus sistemas de informação.
Em seguida, avalie se dependências indiretas importantes criam riscos cibernéticos materiais adicionais.
Exemplo: utilizar o Microsoft Azure
Suponha que uma entidade financeira depende de um grande fornecedor de cloud para infraestruturas que suportam uma função crítica.
No âmbito do DORA, esse acordo é claramente relevante para o quadro de risco de terceiros de TIC da organização.
A organização pode precisar de considerar:
- criticidade do serviço;
- disposições contratuais;
- disponibilidade;
- localização dos dados;
- segurança;
- direitos de auditoria e acesso;
- subcontratação;
- risco de concentração;
- opções de saída.
Se essa organização também estiver num contexto abrangido pela NIS2, a mesma relação com o fornecedor poderá ser relevante para a cibersegurança da cadeia de abastecimento.
O fornecedor subjacente é o mesmo.
A razão legal para o avaliar não é.
Exemplo: fornecedor de processamento de salários
Considere um fornecedor externo de SaaS de processamento de salários.
Ao abrigo do DORA, a primeira questão é saber se o serviço se enquadra no quadro relevante de TIC de terceiros e que funções suporta.
Ao abrigo da NIS2, a empresa deve considerar se o comprometimento do fornecedor poderia criar um risco de cibersegurança material.
O nível de risco resultante poderia ser consideravelmente inferior ao da infraestrutura de nuvem central da organização.
É por isso que aplicar o mesmo questionário e calendário de revisão a todos os fornecedores raramente é a melhor abordagem.
para todos os fornecedores
Faça a triagem dos fornecedores pelo risco, não pelo hábito. A Trusty analisa prestadores de TIC e fornecedores críticos quanto a riscos de conformidade, envia pedidos de diligência devida e monitoriza os resultados numa única plataforma. Ou reserve uma demonstração.
O que deve verificar antes de contratar um terceiro?
Para fornecedores de TIC de maior risco, a diligência devida útil pode incluir:
Identidade empresarial
Confirme com que entidade legal está realmente a contratar.
Propriedade
Compreenda a propriedade relevante e as relações do grupo.
Exposição a sanções
Verifique se a empresa ou as partes que a controlam apresentam preocupações em termos de sanções.
Notícias adversas
Procure notícias credíveis sobre:
- incidentes cibernéticos;
- medidas regulamentares;
- falhas de segurança;
- fraude;
- má conduta;
- grandes interrupções;
- violações de dados.
Controlos de cibersegurança
Avalie as práticas e certificações de segurança relevantes.
Subcontratados
Determine se as funções críticas dependem de outros prestadores.
Risco de concentração
Pergunte o que acontece se vários serviços críticos dependerem do mesmo fornecedor.
Geografia
Compreenda onde os serviços e dados são fornecidos e onde existem dependências críticas.
Continuidade do negócio
Avalie como o prestador responde a interrupções.
Planeamento de saída
Determine se o serviço poderia realisticamente ser transferido para outro fornecedor.
O risco de terceiros não é, portanto, apenas um exercício de segurança de TI.
Pode exigir a combinação de informações de cibersegurança, empresariais, de conformidade, operacionais e reputacionais.
O DORA é mais prescritivo sobre fornecedores de TIC
Uma das formas mais úteis de compreender a diferença é que o DORA constrói uma arquitetura regulamentar explícita em torno das relações com terceiros de TIC.
As entidades financeiras devem integrar o risco de terceiros no seu quadro de gestão de riscos de TIC e manter informações estruturadas sobre os acordos contratuais de TIC.
A NIS2 estabelece uma obrigação de cibersegurança mais ampla e inclui expressamente a segurança da cadeia de abastecimento na mesma.
Assim:
O DORA vai mais fundo na externalização de TIC e na governação de fornecedores.
A NIS2 integra os fornecedores na gestão global de riscos de cibersegurança.
E se se aplicarem tanto o DORA como a NIS2?
Para as entidades financeiras, o DORA é particularmente importante porque o direito da UE trata-o como o quadro de cibersegurança específico do setor para as entidades financeiras abrangidas, em áreas onde as suas disposições se qualificam como regras específicas do setor.
Isto significa que as organizações não devem simplesmente duplicar cada controlo em dois programas de conformidade separados.
Em vez disso, devem determinar:
- que entidade está abrangida;
- que requisito regulamentar rege a questão específica;
- que fornecedores e serviços de TIC estão envolvidos;
- se um controlo pode gerar provas que sustentem várias obrigações de conformidade.
Um inventário unificado de fornecedores pode ajudar consideravelmente.
Um modelo prático de monitorização de fornecedores
Em vez de manter uma folha de cálculo para o DORA, outra para a NIS2 e outra para aquisições, construa um inventário partilhado de terceiros.
Por exemplo:
Fornecedor
↓
Entidade legal + propriedade
↓
Serviço prestado
↓
TIC / não-TIC
↓
Função de negócio suportada
↓
Criticidade
↓
Risco de cibersegurança
↓
Sanções / risco reputacional
↓
Subcontratados
↓
Controlos contratuais
↓
Frequência de monitorização
↓
Incidentes / alterações
Isto permite que as equipas de conformidade apliquem diferentes regras regulamentares aos mesmos dados subjacentes dos fornecedores.
risco de terceiros
Uma visão única de cada fornecedor. Analise prestadores de TIC e fornecedores críticos quanto a riscos de conformidade, envie pedidos de diligência devida e monitorize os resultados numa única plataforma, em vez de folhas de cálculo separadas para DORA e NIS2.
Precisa de uma monitorização contínua dos fornecedores?
Nenhum dos regimes significa que cada informação do fornecedor deva ser literalmente verificada a cada segundo.
Mas a gestão de riscos de terceiros não pode, sensatamente, parar na contratação.
O risco muda.
Um fornecedor pode:
- sofrer um ciberataque;
- sofrer uma interrupção grave;
- mudar de proprietário;
- receber sanções regulamentares;
- aparecer em notícias adversas;
- mudar de subcontratados;
- alterar locais de serviço;
- desenvolver dificuldades financeiras.
Os prestadores de maior risco justificam, portanto, uma monitorização contínua proporcionada à importância e ao risco da relação.
Perguntas frequentes
Sim. As entidades financeiras abrangidas devem gerir o risco de TIC de terceiros como parte do seu quadro de gestão de riscos de TIC. Isto inclui uma supervisão contínua proporcionada à natureza e importância da dependência de TIC.
Sim. A NIS2 exige explicitamente medidas de segurança da cadeia de abastecimento e obriga as entidades a considerar vulnerabilidades e práticas de cibersegurança associadas a fornecedores e prestadores de serviços diretos.
O DORA foca-se em prestadores de serviços de TIC terceiros utilizados por entidades financeiras abrangidas. Os requisitos tornam-se particularmente significativos quando um serviço de TIC suporta uma função crítica ou importante.
Os requisitos da cadeia de abastecimento da NIS2 focam-se particularmente em fornecedores e prestadores de serviços diretos relevantes para a segurança da rede e dos sistemas de informação da organização.
O requisito central aborda especificamente as relações diretas com fornecedores/prestadores de serviços, mas a NIS2 reconhece que as organizações também podem considerar riscos decorrentes de níveis mais profundos da cadeia de abastecimento.
Não. Ambos os quadros apoiam uma abordagem proporcionada e baseada no risco. Os fornecedores que suportam funções críticas ou que criam uma maior dependência de cibersegurança justificam geralmente controlos mais fortes.
Não. O DORA estabelece explicitamente que as entidades financeiras continuam a ser responsáveis pela conformidade regulamentar ao utilizarem prestadores de TIC terceiros.
O DORA funciona como legislação de cibersegurança da UE específica do setor para entidades financeiras abrangidas em áreas relevantes. A interação deve ser avaliada requisito a requisito, em vez de assumir que todas as disposições da NIS2 simplesmente desaparecem.
O essencial
O DORA e a NIS2 chegam à mesma conclusão fundamental:
O seu risco de cibersegurança não termina no limite da sua organização.
Mas abordam o risco do fornecedor de forma diferente.
DORA: identificar e gerir dependências de TIC de terceiros, com controlos particularmente fortes em torno de serviços que suportam funções críticas ou importantes.
NIS2: proteger a segurança da sua cadeia de abastecimento, particularmente as suas relações com fornecedores e prestadores de serviços diretos.
Para as empresas sujeitas a qualquer um dos quadros, o primeiro passo prático é, portanto, o mesmo:
Saiba quem são realmente os seus terceiros, o que fornecem, de que dependem e como o risco deles muda ao longo do tempo.
Um fluxo de trabalho de triagem e monitorização de terceiros pode adicionar outra camada a essa avaliação, verificando continuamente os fornecedores quanto à exposição a sanções, risco de propriedade e desenvolvimentos de notícias adversas, a par dos controlos operacionais e de cibersegurança.
Fontes externas:
EUR-Lex, Regulamento relativo à resiliência operacional digital (DORA)
EUR-Lex, Diretiva NIS2
Leitura relacionada: como as entidades financeiras devem monitorizar os prestadores de TIC ao abrigo do DORA, como as PME podem cumprir os requisitos da NIS2 com um processo simples de comunicação de vulnerabilidades e triagem de terceiros para PME.
TRIAGEM DE RISCO DE TERCEIROS
QuickScreen360: analise fornecedores e parceiros quanto a riscos de conformidade. Envie pedidos de diligência devida, atribua formação e monitorize os resultados numa única plataforma.