Gestão do risco de terceiros: o elo que pode decidir a segurança da sua organização

Em maio de 2017, o WannaCry encriptou dados em mais de 300 mil computadores em 150 países. Em dezembro de 2020, um simples update de software da SolarWinds abriu a porta a uma das intrusões mais sofisticadas da história atual, atingindo entidades governamentais e infraestruturas críticas em todo o mundo. O denominador comum de ambos os casos não foi uma falha interna, mas sim uma vulnerabilidade introduzida através de uma solução terceira (externa).

As organizações dependem, cada vez mais, de fornecedores, prestadores de serviços geridos e plataformas cloud para operar. Esta dependência traz eficiência e inovação, mas também expande significativamente a superfície de ataque. Um fornecedor de serviços de limpeza, um distribuidor logístico ou um parceiro tecnológico podem, todos eles, representar um ponto de entrada para uma ameaça.

Nem todos os fornecedores apresentam o mesmo nível do risco, mas todos merecem ser avaliados: a pergunta certa não é "este fornecedor é crítico?", mas sim "o que aconteceria à organização se este fornecedor falhasse ou fosse comprometido?".

Ignorar este risco já não é uma opção, sobretudo à luz das novas exigências regulatórias.

Um imperativo legal com a NIS2

A Diretiva NIS2 (1) transposta para o ordenamento jurídico português através do Decreto-Lei n.º 125/2025 (2), veio reforçar de forma inequívoca a responsabilidade das organizações sobre a segurança da sua cadeia de abastecimento. O artigo 27.º do decreto-lei exige a implementação de medidas técnicas e organizativas para gerir os riscos associados aos fornecedores e prestadores de serviços diretos, incluindo aspetos como a segurança na cadeia de abastecimento, práticas de desenvolvimento seguro e avaliação da vulnerabilidade dos parceiros.

A este somam-se orientações complementares, como o RE 2024/2690 (3), que detalha os requisitos técnicos e metodológicos das medidas de gestão do risco de cibersegurança, as guidelines do QNRCS (4) e as da ENISA (5), que reforçam a necessidade de uma abordagem baseada no risco, proporcional às ameaças e integrada nos processos de governação da organização. Para setores financeiros, o regulamento DORA (6)  impõe exigências.

Semelhantes, tornando a gestão de terceiros um tema transversal a praticamente todos os setores de atividade.

O ciclo de vida da gestão de terceiros

A gestão eficaz do risco de terceiros (doravante TPRM) não se esgota numa avaliação pontual, é um processo que deve ser contínuo, que acompanha toda a relação contratual e que pode ser organizado em diversas fases, sendo que destaco quatro: pré-contratação, contratação, monitorização contínua e término.

Avaliação do risco desde o início, por defeito e por desenho - um processo contínuo, não pontual

Na fase de pré-contratação, a organização deve primeiramente conhecer quais os requisitos mínimos de segurança obrigatórios, tanto para que consiga fornecer um serviço suficientemente robusto como que consiga cumprir a lei sob o qual o serviço encontra-se em âmbito. Isto é, se a organização pondera adquirir um serviço cujo fornecedor será responsável por tratar dados pessoais, então é imperativo que o fornecedor consiga demonstrar capacidade e maturidade para cumprir com os requisitos do RGPD. Para os fornecedores e prestadores de serviço, esta fase é o momento de brilhar: se tiver uma certificação de segurança válida para o âmbito do RFI/RFP/Concurso, se tiver um relatório ou testemunhos que possa partilhar, aproveite para ter essa informação já preparada.

Na fase de contratação, tornam-se essenciais as cláusulas contratuais e as medidas técnicas e organizativas adequadas à criticidade da relação, entre elas as obrigações de confidencialidade, os prazos de notificação de incidentes e vulnerabilidades, os acordos de nível de serviço para garantir a continuidade e resiliência, o direito a auditorias e as condições aquando do término. Manter um inventário atualizado de todas as relações contratuais é, também, uma prática cada vez mais recomendada pelos referenciais internacionais.

A fase de monitorização contínua é frequentemente a mais negligenciada, apesar de ser central para a deteção atempada de desvios, incumprimentos, mudanças. Def inir indicadores associados à relação contratual, acompanhar periodicamente o desempenho do fornecedor e reavaliar o risco sempre que existam alterações relevantes, como a introdução de novas funcionalidades de inteligência artificial num serviço já contratado ou ocorrência de um incidente de segurança, são práticas indispensáveis para manter a relação sob controlo. É também nesta fase que devem ser realizadas auditorias ou envio de questionários de avaliação.

Por fim, mas não menos importante, a fase de término do contrato. Esta fase acarreta riscos muitas vezes subestimados: revogação de acessos, devolução ou destruição certificada de dados, garantia que o processo de negócio tem continuidade (caso seja o pretendido) e registo de lições aprendidas para futuras contratações. Um término mal gerido pode anular todo o esforço de segurança realizado ao longo da relação.

Criticidade vs. Risco

Desde o momento zero, a inventariação e a classificação dos terceiros são imperativas para um controlo eficaz e para uma identificação clara das medidas técnicas e organizativas que devem ser obrigatoriamente acauteladas. Esta classificação deve assentar em dois vetores distintos: a criticidade que o terceiro representa para o serviço prestado e o nível do risco associado ao cumprimento das condições pré-estabelecidas em contrato.

A classificação da criticidade ajuda a identificar a importância que o terceiro tem para o serviço prestado. Deve basear-se em critérios objetivos, como os dados a que terá acesso, o nível de responsabilidade partilhada, o grau de dependência do negócio perante este fornecedor, o tipo de integração técnica e os requisitos legais aplicáveis.

Já o nível do risco associado representa a probabilidade de o terceiro falhar no cumprimento dessas condições e o impacto que essa falha teria na organização — ou seja, não mede quem é o fornecedor, mas sim o quão provável é que algo corra mal e quão grave seria se corresse. Este risco pode ser avaliado através de plataformas de security rating, que avaliam a postura de cibersegurança de um fornecedor a partir de observação externa contínua, ou de registos como o CSA STAR, que ajudam a reduzir o esforço de pré-contratação antes da assinatura de qualquer contrato.

Boas práticas para começar já

Entre as práticas que qualquer organização pode adotar de imediato destacam-se: classificar os fornecedores por criticidade em vez de os tratar de forma uniforme; incluir cláusulas de segurança e notificação de incidentes em todos os contratos relevantes; exigir certificações reconhecidas, como a ISO/IEC 27001, sempre que aplicável; e implementar mecanismos de monitorização contínua, e não apenas avaliações pontuais no momento da contratação.

Do ponto de vista dos referenciais técnicos, a norma ISO/IEC 27002:2022 dedica os controlos 5.19 a 5.23 especificamente à segurança na gestão de terceiros, enquanto a família ISO/IEC 27036 oferece diretrizes detalhadas para relações com fornecedores de TIC e para serviços cloud, incluindo requisitos para acordos contratuais, pré-contratação e monitorização contínua da conformidade. Estes referenciais, em conjunto com as orientações do QNRCS, oferecem um mapa robusto para estruturar um programa de TPRM alinhado com a NIS2 e adaptável à dimensão e maturidade de cada organização.

Um investimento, não um custo

A TPRM deixou de ser uma preocupação exclusiva das equipas de Compliance ou de compras. É, hoje, um pilar central da estratégia de cibersegurança de qualquer organização, com implicações legais diretas e um impacto real na resiliência do negócio. As organizações que tratarem este tema como um investimento estratégico, e não como um mero exercício de conformidade, estarão em vantagem clara face às exigências que a NIS2 já coloca no terreno.

Para quem quiser aprofundar este tema de forma prática, a CIIWA vai dinamizar, ainda este ano, o curso NIS2 iLAbs 2ª edição com Save the Date para 13 de outubro, onde iremos abordar vários temas de implementação da NIS2 com instrumentos práticos e debater o essencial do TPRM. Estamos também a criar um curso desenhado à medida para o tema da Gestão de fornecedores / TPRM com Save the Date para 28 de setembro, mais específico e com um conjunto de exercícios práticos onde pretenderemos olhar não só para as organizações como também no ponto de vista do prestador de serviços de cibersegurança, abordar os cuidados na aquisição de soluções de AI bem como de soluções cloud.

Inscrições e mais informações sobre estes cursos em www.ciiwa.pt/formacao

Referências

(1) Diretiva (UE) 2022/2555, do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022

(2) Decreto-Lei n.º 125/2025, Portugal; 4 de dezembro

(3) Regulamento de Execução (UE) 2024/2690 da Comissão, de 17 de outubro de 2024

(4) QNRCS (Quadro Nacional de Referência para a Cibersegurança); CNCS; 2019

(5) NIS2 Technical Implementation Guidance; ENISA; 26 junho 2025

(6) Regulamento DORA (Digital Operational Resilience Act); Regulamento UE 2022/2554, do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022