5.1. Política de segurança da cadeia de abastecimento

(a)

As práticas de cibersegurança dos fornecedores e dos prestadores de serviços, incluindo os respetivos procedimentos de desenvolvimento seguro;

(b)

A capacidade dos fornecedores e dos prestadores de serviços para cumprirem as especificações de cibersegurança estabelecidas pelas entidades pertinentes;

(c)

A qualidade e a resiliência globais dos produtos de TIC e dos serviços de TIC e as medidas de gestão dos riscos de cibersegurança neles incorporadas, incluindo os riscos e o nível de classificação desses produtos e serviços;

(d)

A capacidade das entidades pertinentes para diversificarem as fontes de abastecimento e limitarem a vinculação a fornecedores, quando aplicável.

(a)

Requisitos de cibersegurança para os fornecedores ou prestadores de serviços, incluindo os requisitos estabelecidos no ponto 6.1. em matéria de segurança na aquisição de serviços de TIC ou produtos de TIC;

(b)

Requisitos relativos à sensibilização, às competências e à formação, bem como, se for caso disso, às certificações, exigidas aos trabalhadores dos fornecedores ou prestadores de serviços;

(c)

Requisitos relativos à verificação dos antecedentes dos trabalhadores dos fornecedores e dos prestadores de serviços;

(d)

A obrigação de os fornecedores e prestadores de serviços notificarem as entidades pertinentes, sem demora injustificada, dos incidentes que representem um risco para a segurança dos sistemas de rede e informação dessas entidades;

(e)

O direito de efetuar auditorias ou o direito de receber relatórios de auditoria;

(f)

A obrigação de os fornecedores e prestadores de serviços lidarem com vulnerabilidades que representem um risco para a segurança dos sistemas de rede e informação das entidades pertinentes;

(g)

Requisitos relativos à subcontratação e, no caso de esta ser autorizada pelas entidades pertinentes, requisitos de cibersegurança aplicáveis aos subcontratantes, em conformidade com os requisitos de cibersegurança referidos na alínea a);

(h)

Obrigações dos fornecedores e prestadores de serviços aquando da rescisão do contrato, como, por exemplo, a recuperação e a eliminação das informações obtidas pelos fornecedores e prestadores de serviços no exercício das suas funções.

(a)

Acompanham regularmente os relatórios sobre a aplicação dos acordos de nível de serviço, quando aplicável;

(b)

Analisam os incidentes relacionados com produtos de TIC e serviços de TIC de fornecedores e prestadores de serviços;

(c)

Avaliam a necessidade de análises não programadas e documentam as conclusões de forma compreensível;

(d)

Analisam os riscos decorrentes das alterações relacionadas com os produtos de TIC e serviços de TIC dos fornecedores e prestadores de serviços e, se for caso disso, tomam atempadamente medidas para atenuar tais riscos.