la lista di domande chiede come controlliamo la sicurezza dei nostri fornitori

Sicurezza della catena di fornitura: il vostro cliente chiede informazioni sui vostri fornitori

Questa domanda riguarda l'articolo 21, paragrafo 2, lettera d della NIS2: la sicurezza della catena di approvvigionamento, comprese le relazioni con ogni fornitore o prestatore di servizi diretto. Il vostro cliente vuole quindi sapere non solo come siete voi stessi protetti, ma anche come lo imponete ai vostri subappaltatori. In concreto, di solito viene chiesto se includete requisiti di sicurezza nei contratti, se valutate preventivamente i fornitori e se controllate periodicamente che rispettino tali requisiti.

Se non avete ancora formalmente organizzato questo processo, la risposta più onesta è che lo fate in modo informale — ad esempio attraverso clausole contrattuali senza una valutazione strutturata — oppure che non lo fate ancora. Compilare un "sì" perché suona logico non aiuta: se il vostro cliente chiede ulteriori dettagli chiedendovi un contratto di esempio o un elenco di fornitori con valutazione del rischio, questi devono allora esistere. La stessa domanda ricorre spesso in una forma leggermente diversa, ovvero se l'impresa pone requisiti di sicurezza ai propri fornitori — è essenzialmente lo stesso requisito, ma separato dalla domanda relativa al contratto. Ha quindi senso formulare un'unica risposta che potete riutilizzare in più elenchi.

Fonte: articolo 21, paragrafo 2 e Annex A.5.19-21

La base giuridica è l'articolo 21, paragrafo 2, lettera d della direttiva NIS2, una delle dieci misure obbligatorie ivi menzionate. Per la pratica olandese, questa ricorre nella Legge sulla cibersicurezza, il recepimento della NIS2 che entra in vigore il 15 agosto 2026 — la domanda del vostro cliente spesso anticipa quindi quello che diventerà obbligatorio per voi stesso solo in seguito, a meno che non rientriate già nella direttiva tramite la definizione di entità secondo la NIS2. Chi applica ISO/IEC 27001 riconosce lo stesso requisito nell'Annex A, le misure di controllo secondo A.5.19 fino a A.5.21 sulle relazioni con i fornitori e i requisiti di sicurezza stabiliti in essi. Entrambe le fonti chiedono essenzialmente la stessa cosa: non solo sapere chi sono i vostri fornitori, ma dimostrare in modo verificabile che controllate il loro livello di sicurezza.