il questionario chiede come controlliamo la sicurezza informatica dei nostri fornitori

Sicurezza della catena di approvvigionamento: cosa vuole sapere esattamente il cliente

Questa domanda riguarda l'articolo 21 paragrafo 2 lettera d della NIS2: la sicurezza della catena di approvvigionamento, inclusa la relazione con ogni singolo fornitore. Il cliente non vuole quindi sapere se siete sicuri, ma se lo richiedete e controllate anche dai vostri fornitori. Concretamente, il questionario di solito cerca tre cose: avete incluso i requisiti di sicurezza nei contratti con i fornitori, valutate i fornitori prima di utilizzarli, e li rivalutate periodicamente. Una risposta come "confidiamo nei nostri fornitori" non è una prova per questo campo — deve esserci un processo dietro.

Se avete quel processo, la prova di solito è una politica sui fornitori o una clausola nel contratto standard, eventualmente integrata con un elenco delle valutazioni effettuate. Se non l'avete, allora "no" è la risposta onesta qui — compilare sulla base di un'ipotesi non produce un sì, perché il dossier non ha una fonte per questo. Questo argomento è comunque correlato a un altro campo dello stesso questionario: se l'impresa stabilisce requisiti di sicurezza ai propri fornitori è spesso una domanda posta separatamente, ma la prova si sovrappone con ciò che viene chiesto qui. È anche rilevante se la vostra stessa analisi dei rischi include i fornitori come categoria di rischio separata; ciò si allinea con la politica per l'analisi dei rischi e la sicurezza dell'informazione che altrove nell'elenco viene richiesto.

Fondamento: articolo 21 paragrafo 2 e Allegato A

L'obbligo deriva dall'articolo 21 paragrafo 2 lettera d della Direttiva (UE) 2022/2555, che nomina la sicurezza della catena di approvvigionamento come una delle dieci misure obbligatorie. ISO/IEC 27001 la sviluppa nell'Allegato A, tra le misure di controllo per le relazioni con i fornitori: si fa una distinzione tra i requisiti all'inizio della relazione e il monitoraggio periodico. Per le imprese olandesi, lo stesso obbligo si ritrova nella Legge sulla sicurezza informatica, che entra in vigore il 15 agosto 2026 come attuazione della NIS2. Se questo obbligo si applica alla vostra impresa dipende dal fatto che rientriate nella direttiva; questa è una domanda diversa da quella che viene posta qui, ed è spiegata separatamente presso se l'impresa stessa rientra nell'ambito di applicazione della NIS2.