il cliente chiede come gestiamo l'accesso dei fornitori esterni

L'accesso per i fornitori esterni fa parte dell'articolo 21 paragrafo 2

Questa domanda riguarda come gestite l'accesso di terzi ai vostri sistemi e dati, e tocca due delle dieci misure dell'articolo 21 paragrafo 2 di NIS2 contemporaneamente: punto (i), la politica di accesso, e punto (d), la sicurezza della catena di approvvigionamento verso i fornitori. Il cliente quindi non vuole solo sapere se parti esterne hanno accesso, ma anche come quell'accesso è delimitato, chi lo concede e lo revoca, e se tale processo è documentato. Una risposta come "i fornitori ricevono accesso solo dopo approvazione" è troppo vaga senza spiegare come procede l'approvazione e con quale frequenza viene rivista.

Quello di cui avete effettivamente bisogno: una descrizione del processo di autorizzazione per gli account esterni, preferibilmente con una menzione del principio del minor privilegio (accesso limitato a ciò che è necessario) e della scadenza entro cui l'accesso viene rivisto o revocato al termine dell'incarico. Se questo processo manca, allora "no" è qui la risposta onesta — un "sì" suggestivo senza un documento sottostante causa più danni nel corso di un controllo del cliente rispetto a un no con una nota che la politica è in fase di sviluppo. Questo argomento si sovrappone con la politica di accesso e la gestione dei beni aziendali, dove viene trattata la struttura di autorizzazione più ampia, e con la domanda se l'azienda stabilisce requisiti per i propri fornitori, perché gestire l'accesso esterno è spesso nella pratica parte della stessa politica di catena.

Dove si trova: articolo 21 paragrafo 2, punti (d) e (i)

L'articolo 21 paragrafo 2 della Direttiva (UE) 2022/2555 menziona al punto (i) "politica di controllo dell'accesso" come una delle dieci misure obbligatorie, e al punto (d) la sicurezza della catena di approvvigionamento inclusa la relazione con i fornitori — l'accesso esterno rientra in entrambi. In ISO/IEC 27001 Allegato A le misure di controllo corrispondenti per la gestione dell'accesso e per le relazioni con i fornitori sono articolate a livello di controllo, il che spiega perché un cliente spesso chiede uno specifico numero di controllo dell'Allegato A invece del testo della direttiva stesso. Per le aziende che rientrano nell'attuazione olandese, questo obbligo si ritrova nella Legge sulla cibersicurezza, che entrerà in vigore il 15 agosto 2026.