il cliente chiede come siamo protetti dagli attacchi attraverso i nostri fornitori

Questa domanda riguarda l'articolo 21 comma 2 lettera d, non l'intera vostra politica di sicurezza

Questa domanda si concentra specificamente sulla sicurezza della catena di approvvigionamento: cosa fate per evitare che una vulnerabilità presso il vostro fornitore consenta un attacco a voi. Si tratta di una delle dieci misure dell'articolo 21 comma 2 NIS2, accanto ad esempio all'analisi dei rischi, alla gestione degli incidenti e alla crittografia. Il richiedente non vuole quindi sapere come sono protetti i vostri sistemi — quella è un'altra domanda nell'elenco — ma come controllate i rischi che arrivano attraverso una terza parte.

La prova concreta di ciò consiste solitamente in tre elementi: una valutazione del fornitore prima della stipula del contratto, requisiti di sicurezza fissati contrattualmente (si pensi a un accordo sul responsabile del trattamento o a un allegato di sicurezza separato) e un elenco di quali fornitori hanno accesso a quali sistemi o dati. Se non lo avete, allora "no" è la risposta onesta — un elenco di fornitori senza i requisiti sottostanti non è prova di controllo. Se volete approfondire cosa intende esattamente il cliente con questa domanda, aiuta verificare se l'impresa pone requisiti di sicurezza ai propri fornitori è già elaborato nel fascicolo della catena, separatamente dalla questione se voi stessi ricadete sotto la direttiva.

Se siete certificati ISO 27001, la risposta è spesso già pronta: l'Allegato A contiene una misura di controllo specifica per le relazioni con i fornitori (da A.5.19 a A.5.22 nella versione 2022), e un revisore lo ha già verificato. Senza certificazione la risposta non è automaticamente "no" — si tratta di ciò che fate effettivamente, non del timbro. In caso di dubbio, verificate se l'impresa è certificata ISO 27001 è già stato registrato nel fascicolo, il che risparmia ricerche su questa domanda.

Da dove viene: articolo 21 comma 2 lettera d NIS2

L'articolo 21 comma 2 lettera d della Direttiva (UE) 2022/2555 cita esplicitamente "la sicurezza della catena di approvvigionamento" come parte obbligatoria della gestione dei rischi, inclusa la relazione con i singoli fornitori. La legge sulla sicurezza informatica assume questo obbligo quando la legge entra in vigore; fino a quel momento la domanda può comunque presentarsi perché il cliente stesso è già soggetto alla direttiva e la trasmette nella catena, anche se voi stessi non siete un'entità NIS2.