A gestão do risco cibernético não se limita ao perímetro de uma organização, impondo a obrigação de considerar explicitamente os riscos associados a terceiros e fornecedores críticos.