il questionario chiede come mappiamo i rischi nella nostra catena

I rischi della catena toccano due domande diverse

La domanda sui rischi della supply chain chiede in pratica due cose contemporaneamente, e il questionario spesso non esplicita questa distinzione. In primo luogo: l'azienda ha visibilità sui rischi che entrano attraverso i suoi stessi fornitori e prestatori di servizi — si pensi a un fornitore IT con accesso alla rete, oppure a un componente software di terze parti. In secondo luogo: l'azienda pone requisiti a questi fornitori e li controlla. Questo secondo aspetto si sovrappone a la domanda se l'azienda pone requisiti di sicurezza ai suoi fornitori — spesso è letteralmente la stessa domanda, solo posta altrove nell'elenco con parole diverse.

Chi è certificato ISO/IEC 27001 può solitamente fare riferimento alle misure di controllo per le relazioni con i fornitori allegate nell'Allegato A — sono specifiche proprio per questa parte, e un revisore le ha già valutate. Senza certificazione la risposta non è automaticamente "no": quello che conta è se esiste un'analisi dei rischi in cui i fornitori sono considerati come punto di attenzione, anche se informale. Ciò è coerente con la domanda più ampia sulla politica per l'analisi dei rischi, dove i rischi della catena tipicamente costituiscono un paragrafo, non un documento separato. Se non c'è nulla documentato, allora "no" è la risposta onesta — presentare un sì senza che alla base ci sia un'analisi dei rischi, una clausola contrattuale o un inventario dei fornitori non regge se il cliente chiede la prova documentale.

Provenienza: articolo 21 paragrafo 2 della NIS2

La sicurezza della catena è menzionata come elemento separato nell'articolo 21 paragrafo 2 della direttiva NIS2, tra le dieci misure ivi enumerate. Per chi rientra lui stesso nella direttiva — o che presto rientrerà nella Legge sulla cibersicurezza, il recepimento olandese che entra in vigore il 15 agosto 2026 — questo non è un elemento facoltativo ma una delle misure obbligatorie. Per chi non vi rientra, ma riceve comunque la domanda da un cliente, è solitamente un trasferimento dello stesso obbligo: il cliente deve poter dimostrare che controlla la sua catena, e perciò lo chiede a cascata.