il questionario chiede come gestiamo i rischi dei nostri fornitori

La sicurezza della catena di fornitura è una delle dieci misure obbligatorie

Non si tratta di una semplice domanda aggiuntiva: la sicurezza della catena di approvvigionamento è elencata come una sezione separata nell'articolo 21, paragrafo 2 di NIS2, insieme alle altre nove misure come l'analisi dei rischi, la gestione degli incidenti e il controllo degli accessi. Il cliente che pone questa domanda verifica se la tua azienda guarda anche indietro nella catena: non solo la tua sicurezza, ma anche quella dei soggetti da cui dipendi. Questo si allinea con i requisiti di sicurezza che l'azienda stessa impone ai suoi fornitori — lo stesso principio, un passo più avanti nella catena.

Concretamente si chiede solitamente su tre aspetti: hai una politica o un processo per valutare i fornitori sui rischi di cybersicurezza, imponi requisiti contrattuali (si pensi all'obbligo di segnalazione in caso di incidenti, livelli minimi di sicurezza), e continui a monitorare questo aspetto dopo la firma del contratto. Se non hai questo processo, un "no" con una breve spiegazione è una risposta perfettamente valida — meglio di un "sì" che non puoi dimostrare. Se hai una valutazione dei fornitori ma nessuna sezione specifica sulla cybersicurezza, indicalo precisamente così: la documentazione deve corrispondere a ciò che comunichi. Un certificato ISO 27001 con Annex A solitamente copre questo argomento, quindi se l'azienda è certificata ISO 27001 è spesso il modo più veloce per fornire la documentazione.

Fonte: articolo 21 paragrafo 2 e Allegato A

Le dieci misure dell'articolo 21, paragrafo 2 di NIS2 menzionano la sicurezza della catena di fornitura come punto separato, distinto dall'analisi generale dei rischi. ISO/IEC 27001 la sviluppa ulteriormente nelle misure di controllo di Annex A, specificamente focalizzate sulle relazioni con i fornitori e sui requisiti che imponi loro. La Legge sulla cibersicurezza recepisce questo obbligo nel diritto olandese e entra in vigore il 15 agosto 2026 — per il momento la direttiva dell'UE è la fonte principale, e il cliente in pratica chiede spesso già in anticipo rispetto a ciò.