É possível proteger a própria TI de forma exemplar e, ainda assim, ficar parado por dias — porque não foi a própria TI. Quando um prestador de serviços de TI compartilhado, um data center ou um fornecedor de software é atingido, todos os que o utilizam ficam pendurados nele. Para muitas administrações e empresas, esse é justamente o caminho de indisponibilidade mais provável do que o ataque direto: o próprio perímetro resiste, mas o serviço por trás dele sumiu.
Isso já não é um tema secundário, mas algo regulado. A NIS-2 e a DORA (regulamentos europeus de segurança e resiliência digital) transformam o difuso “risco da cadeia de suprimentos” em obrigações concretas.
Por que o desvio é atraente
Os invasores calculam economicamente. Um prestador que atende 50 municípios ou escritórios de advocacia é uma alavanca: uma invasão, muitas vítimas. A mesma concentração que torna a operação compartilhada acessível vira o alvo. E o caminho por um fornecedor de confiança — uma atualização manipulada, um acesso de manutenção remota comprometido — contorna muitas defesas, porque vem de dentro, de uma fonte na qual se confia.
O que a NIS-2 e a DORA exigem concretamente
Ambos os regulamentos deslocam expressamente a responsabilidade para a cadeia:
- Avaliar os fornecedores. As empresas afetadas precisam conhecer e avaliar os riscos dos seus prestadores de serviços de TI — não uma única vez, mas de forma contínua.
- Robustecer os contratos. A DORA exige, para empresas do setor financeiro, cláusulas contratuais concretas com os prestadores de serviços de TIC: nível de segurança, direitos de auditoria, obrigações de notificação, cenários de saída ordenada. A NIS-2 exige diligência comparável de forma mais ampla.
- Apresentar comprovações. “Confiamos no nosso prestador” não basta. Exigem-se informações comprováveis: como ele protege, como notifica, com que rapidez reage na emergência?
O reverso incômodo: quem é, ele próprio, prestador de serviços precisa ser capaz de fornecer essas comprovações — e, futuramente, será selecionado com base nelas.
O que isso significa na prática
A verificação começa com perguntas incômodas a cada prestador crítico: onde ficam os nossos dados? Quem tem acesso remoto, e como ele está protegido? Como somos informados diante de um incidente, e em que prazo? Existe restauração testada — não apenas um backup? E: o que acontece se quisermos trocar? Quem não obtém essas respostas não entendeu o seu risco, apenas o terceirizou.
Como ajudamos nisso
Como uma casa de sistemas de gestão familiar, estamos dos dois lados dessa cadeia. Para os nossos clientes, acompanhamos a avaliação e a proteção dos seus prestadores de serviços e fornecemos as comprovações que a NIS-2 e a DORA exigem — manutenção contínua das comprovações, processos de notificação, prevenção de emergências. E, como prestadores, expomos nós mesmos as mesmas comprovações: operação documentada, canais de notificação definidos, restaurações testadas, um ambiente transferível a qualquer momento. Tudo isso por uma mensalidade fixa previsível, no âmbito do nosso acompanhamento de compliance e dos nossos Managed Services. Confiança na cadeia de suprimentos é bom — confiança comprovável é o que o legislador passou a exigir.