il nostro cliente rientra nella NIS2 e ora ci pone requisiti, cosa significa

Il vostro cliente vi comunica le dieci misure di cui all'articolo 21

Questo significa che diventate parte dell'approccio alla catena di approvvigionamento prescritto dall'articolo 21 paragrafo 2 di NIS2. Un'entità rientrante nell'ambito di applicazione di NIS2 deve adottare autonomamente "misure di cybersicurezza nella catena di approvvigionamento" — punto (d) di tale paragrafo — e il vostro cliente lo fa imponendo i requisiti che fissa per sé anche a voi. Non diventate quindi voi stessi soggetti agli obblighi NIS2 per il semplice fatto di questa lista di controllo; ricevete le conseguenze dell'obbligo del vostro cliente. La questione se ricadete autonomamente nell'ambito di applicazione della direttiva è una questione separata — a cui rispondete autonomamente, ad esempio con la spiegazione su se l'azienda stessa rientra nella direttiva NIS2.

In pratica, la lista di controllo traduce l'articolo 21 paragrafo 2 in domande singole: disponete di analisi dei rischi e di una politica di cybersicurezza, come trattate gli incidenti, come gestite i backup e il ripristino, come controllate l'accesso e utilizzate l'autenticazione a più fattori, e — la disposizione che il vostro cliente vi applica proprio ora — imponete anche voi requisiti ai vostri fornitori. Per ciascuno di questi punti esiste una spiegazione separata nella knowledge base, come politica di analisi dei rischi e di cybersicurezza dei sistemi informativi e requisiti di cybersicurezza da applicare ai propri fornitori. Se disponete già di un certificato ISO 27001, questo copre una gran parte di queste domande in un colpo solo.

Dove si trova nella direttiva: articolo 21 paragrafo 2

L'articolo 21 paragrafo 2 della Direttiva (UE) 2022/2555 elenca letteralmente le dieci misure, dalla politica di analisi dei rischi (a) alla cybersicurezza nell'acquisizione di prodotti e servizi e nella relazione con i fornitori (d), fino al controllo degli accessi e all'autenticazione a più fattori (j). La legge olandese sulla cybersicurezza (Cyberbeveiligingswet) recepisce questa direttiva nel diritto nazionale e entrerà in vigore il 15 agosto 2026; fino a quella data il vostro cliente può già trasferire su di voi la sua preparazione, anche senza che la legge sia già applicabile. Chi riconosce le dieci misure come singoli controlli Annex A di ISO/IEC 27001, può riprendere molte risposte direttamente da un ISMS esistente.