Risco de fornecedores e cadeia de suprimentos: quem exige o quê
As violações por meio de fornecedores continuam subindo nos gráficos de incidentes, e os frameworks acompanharam. A maioria agora exige segurança de fornecedores, mas cada um entende isso de forma diferente.
Esta publicação abrange as 11 normas que a ControlMapping tinha mapeado quando foi escrita. Desde então, foram acrescentadas DORA, CPS 234, Cyber Essentials em 2026-10-27; as respetivas páginas e a matriz de cobertura já as incluem.
Os fornecedores tornaram-se uma das rotas mais comuns de acesso às organizações, desde atualizações de software comprometidas até prestadores de serviços gerenciados violados. Os frameworks reagiram, alguns mais do que outros. A ControlMapping acompanha isso em dois tópicos: gestão de risco de fornecedores (avaliação e gestão de fornecedores individuais) e risco na cadeia de suprimentos (o programa em torno deles).
Gestão de risco de fornecedores
| Framework | Gestão de Risco de Fornecedores | Vínculo |
|---|---|---|
| NIST CSF 2.0 | GV.SC-04GV.SC-06GV.SC-07ID.RA-10DE.CM-06 | Definição do tópico |
| ISO 27001 | A.5.19A.5.20A.5.22 | Correspondência |
| CIS v8.1 | CIS 15.1CIS 15.5CIS 15.6CIS 15.3CIS 15.4CIS 15.7 | Correspondência |
| SOC 2 | CC9.2 | Editorial |
| PCI DSS | 12.8.112.8.212.8.312.8.412.8.5 | Correspondência |
| CMMC | — | |
| 800-53 | SA-4SA-9SR-6 | Correspondência |
| HIPAA | §164.308(b)(1)§164.314(a) | Correspondência |
| GDPR | Art.28(1)Art.28(3) | Editorial |
| NIS2 | 5.15.26.1 | Correspondência |
| Essential Eight | — | Sem mapeamento em nossos dados |
Detalhe completo e o motivo de cada ligação: Gestão de Risco de Fornecedores em todos os frameworks →
Risco na cadeia de suprimentos como programa
| Framework | Risco na cadeia de suprimentos | Vínculo |
|---|---|---|
| NIST CSF 2.0 | GV.SC-01GV.SC-03GV.SC-05GV.SC-09ID.RA-09 | Definição do tópico |
| ISO 27001 | A.5.19A.5.21 | Correspondência |
| CIS v8.1 | CIS 15.2 | Correspondência |
| SOC 2 | CC9.2 | Editorial |
| PCI DSS | 6.3.212.8.1 | Correspondência |
| CMMC | — | |
| 800-53 | PM-30SR-2SR-3SR-11 | Correspondência |
| HIPAA | — | |
| GDPR | Art.28(1) | Editorial |
| NIS2 | 5.16.1 | Correspondência |
| Essential Eight | — | Sem mapeamento em nossos dados |
Detalhe completo e o motivo de cada ligação: Risco na cadeia de suprimentos em todos os frameworks →
Onde concordam
A maioria dos frameworks exige o mesmo ciclo de vida: saber quem são seus fornecedores, avaliá-los antes de contratar, incluir requisitos de segurança nos contratos, monitorá-los e encerrar a relação de forma segura. ISO 27001 cobre isso em A.5.19 a A.5.22; PCI DSS exige uma lista de prestadores de serviços, contratos por escrito, diligência prévia, monitoramento anual e uma divisão documentada de responsabilidades (12.8.1 a 12.8.5); SOC 2 espera que o risco de fornecedores seja avaliado e gerenciado (CC9.2); os CIS Controls exigem inventário, classificação, requisitos contratuais, avaliação, monitoramento e descomissionamento seguro (Controle 15). Construa esse ciclo de vida uma vez, e o mesmo processo atende à maioria desses frameworks.
Onde divergem
- GDPR foca nos operadores: contratos escritos com os termos do Artigo 28, e uso apenas de operadores que ofereçam garantias suficientes. Trata-se de dados pessoais, não de fornecedores em geral.
- HIPAA exige contratos de associado comercial (§164.308(b)(1), §164.314(a)) com qualquer pessoa que trate ePHI em seu nome.
- NIS2 trata a segurança da cadeia de suprimentos como medida própria (Artigo 21(2)(d)), e o Regulamento de Execução pede uma política de segurança da cadeia de suprimentos, critérios de seleção de fornecedores e requisitos contratuais de segurança (pontos 5.1 e 5.2), considerando as práticas de segurança e as vulnerabilidades dos próprios fornecedores.
- NIST CSF 2.0 vai mais longe, com dez subcategorias da função Governar sobre gestão de risco de cadeia de suprimentos de segurança cibernética, desde o estabelecimento de um programa até a gestão de fornecedores ao longo de todo o ciclo de vida.
- CMMC Level 2 não tem prática específica para fornecedores; a transferência de requisitos a subcontratados vem de cláusulas contratuais. O Essential Eight não trata de fornecedores.
Como é um bom programa
- Um inventário único de fornecedores, com o que cada fornecedor pode acessar e o quão crítico ele é.
- Diligência prévia em níveis: mais para fornecedores com acesso a dados ou sistemas sensíveis, menos para os demais. Aceite o relatório SOC 2 ou o certificado ISO deles quando cobrirem o serviço, e leia o escopo.
- Requisitos contratuais: obrigações de segurança, notificação de violação a você, direitos de auditoria e devolução ou exclusão de dados ao término (termos do Artigo 28 do GDPR quando envolvidos dados pessoais).
- Monitoramento proporcional ao nível: revisões anuais para fornecedores críticos, como o PCI DSS exige de prestadores de serviços.
- Desligamento: revogar acessos, recuperar ou excluir dados e confirmar a exclusão.
As páginas de tópico Risco de fornecedores e Risco na cadeia de suprimentos listam cada requisito com sua fonte. Nosso post sobre por que um relatório SOC 2 não responde sozinho à questão dos fornecedores trata da leitura de garantias de fornecedores.
Perguntas
O que a NIS2 exige sobre segurança da cadeia de suprimentos?
O Artigo 21(2)(d) exige segurança da cadeia de suprimentos, incluindo aspectos de segurança das relações com fornecedores diretos e prestadores de serviços. O Regulamento de Execução define uma política de segurança da cadeia de suprimentos, critérios de seleção de fornecedores e requisitos contratuais (pontos 5.1 e 5.2).
O CMMC Level 2 exige gestão de risco de fornecedores?
Não como programa. O CMMC Level 2 herda o SP 800-171 Rev 2, que se concentra na proteção de CUI nos próprios sistemas da organização; a transferência de requisitos a subcontratados vem, em vez disso, das cláusulas contratuais.
Dados atualizados em 2026-10-27: os números deste artigo são calculados a partir da correspondência atual e são atualizados quando ela muda. Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Não é aconselhamento de conformidade.
Publicações relacionadas
Análise · 2026-10-27APRA CPS 234 e ISO 27001: o que seu ISMS cobre e o que a APRA acrescentaUm ISMS ISO 27001 cobre quase todos os parágrafos da CPS 234 da APRA, mas a APRA acrescenta deveres do Conselho, garantia de terceiros e prazos rigorosos de notificação.
Análise · 2026-10-27Cyber Essentials vs Essential Eight: duas bases nacionaisO Cyber Essentials do Reino Unido e o Essential Eight da Austrália visam ataques comuns, mas cobrem terrenos diferentes. O que se sobrepõe, o que não se sobrepõe e por quê.
Análise · 2026-10-27DORA vs NIS2: o que um programa NIS2 já cobreDORA e NIS2 compartilham a maior parte do seu conteúdo de segurança, mas o DORA acrescenta um registro, cláusulas contratuais e testes orientados por ameaças. Artigo por artigo, veja o que se aproveita.