la lista di domande chiede i rischi nella nostra catena di fornitura, il che significa che

I rischi della catena di approvvigionamento riguardano la sicurezza dei tuoi fornitori

I rischi della catena di approvvigionamento riguardano i fornitori e i prestatori di servizi che ingaggi, e se costituiscono una lacuna nella sicurezza del tuo cliente. La domanda non sorge dal nulla: è una misura letterale dell'articolo 21, paragrafo 2, lettera d) della direttiva NIS2, che affronta esplicitamente la sicurezza della catena di approvvigionamento, inclusa la relazione con i fornitori. Il tuo cliente deve essere in grado di dimostrare che te lo ha chiesto presso i tuoi fornitori — cioè a te. Da qui la domanda nella lista.

In pratica si chiedono due cose contemporaneamente. Uno: hai tu stesso visibilità sui rischi che i tuoi fornitori critici (hosting, software, gestione IT) comportano? Due: imponi tu stesso requisiti a quei fornitori, contrattualmente o altrimenti? Il secondo si sovrappone a la domanda se i tuoi fornitori devono rispettare i requisiti di sicurezza — spesso è letteralmente la stessa domanda con un abito diverso, quindi controlla prima se l'hai già risposto. Se non hai una politica formale dei fornitori, una risposta onesta "no, non ancora" è più precisa di una risposta che promette più di quanto esista.

Rinvenibile nell'articolo 21, paragrafo 2, lettera d) della direttiva NIS2

Questa domanda deriva direttamente dalle dieci misure dell'articolo 21, paragrafo 2, della Direttiva (UE) 2022/2555, in cui la sicurezza della catena di approvvigionamento è una sezione separata (lettera d) accanto all'analisi dei rischi e alla gestione degli incidenti. Nel Cybersecurity Act, il recepimento olandese che entra in vigore il 15 agosto 2026, questa misura si applica alle entità che rientrano nell'ambito della legge. Chi lavora con ISO/IEC 27001 riconosce lo stesso requisito nell'Allegato A tra le misure di controllo per le relazioni con i fornitori. Se la tua azienda ricade anche nell'ambito di applicazione di tale obbligo dipende da se l'azienda, in quanto entità, rientra nella NIS2 o nel recepimento nazionale — questo determina se si tratta di un obbligo per te o solo di una domanda che il tuo cliente ti inoltra.