dobbiamo dimostrare che controlliamo i nostri fornitori sulla cybersecurity, come lo faccio

Sicurezza della catena di approvvigionamento: cosa richiede l'articolo 21, paragrafo 2, lettera d

L'articolo 21, paragrafo 2, lettera d della direttiva NIS2 menziona la sicurezza della catena di approvvigionamento come una delle dieci misure obbligatorie, compresi gli aspetti di sicurezza delle relazioni tra l'entità e i suoi fornitori diretti. Concretamente significa: devi essere in grado di dimostrare che, al momento di stipulare e mantenere relazioni con i fornitori, valuti se quel fornitore rappresenta un rischio per la tua stessa prestazione di servizi. Una politica dei fornitori documentata con almeno tre componenti copre solitamente questo aspetto: un criterio di selezione preliminare (quali requisiti poni ai nuovi fornitori), un test periodico durante il periodo contrattuale, e una procedura di escalation se un fornitore segnala un incidente. Questo è la stessa domanda che il tuo cliente ti pone direttamente sulla gestione dei rischi della catena — in realtà inserisci qui la tua stessa risposta, ma un livello più profondo nella catena.

Quale sia la prova rilevante dipende da quanto maturo è il tuo processo. Una clausola contrattuale in cui il fornitore si impegna a rispettare determinati requisiti di sicurezza è un punto di partenza ma non una valutazione. Più robusto è un questionario che tu stesso invii ai fornitori, abbinato a un'etichetta di rischio semplice (basso/medio/alto) basata su ciò che quel fornitore vede o tocca dei tuoi sistemi. Se non lo hai, la risposta più onesta è che devi ancora implementare il processo — non compilare "sì" su una clausola contrattuale che non ha valore. Attenzione: questa è una domanda distinta da quella di se la tua stessa organizzazione rientra nella direttiva; anche se la tua organizzazione non è direttamente soggetta a NIS2, un cliente può comunque chiederlo a te attraverso l'obbligo della catena.

Da dove proviene: direttiva e legge olandese

L'obbligo è contenuto nell'articolo 21, paragrafo 2, lettera d della Direttiva (UE) 2022/2555; la Cyberbeveiligingswet lo recepisce nel diritto olandese e dovrebbe entrare in vigore il 15 agosto 2026. ISO/IEC 27001 Allegato A contiene una misura di controllo simile sulle relazioni con i fornitori, il che spiega perché i clienti con un questionario ISO spesso pongono la stessa domanda dei clienti che fanno riferimento a NIS2.