L'impresa pone requisiti di sicurezza ai propri fornitori?

La catena di fornitura è una delle dieci misure

Sì, nella maggior parte dei casi è rilevante rispondere con un riferimento a una politica concreta nei confronti dei fornitori, non con una rassicurazione generica. La domanda proviene direttamente dall'articolo 21, paragrafo 2, della direttiva NIS2, dove la "sicurezza della catena di fornitura" figura come punto separato accanto alle altre nove misure. Il cliente quindi non vuole sapere se siete voi stessi ben protetti, ma se imponete questo requisito alle parti da cui dipendete: fornitori di hosting, fornitori di software, fornitori di servizi IT.

Concretamente si tratta di domande come: sono presenti requisiti di sicurezza nei contratti con i fornitori critici, viene valutato il livello di sicurezza durante l'acquisizione o l'onboarding, e c'è visibilità delle dipendenze più avanti nella catena. Un'impresa che ha già una propria politica di sicurezza delle informazioni — vedi anche la domanda su politica per l'analisi dei rischi e la sicurezza dei sistemi informativi — spesso ha già un quadro in cui la valutazione dei fornitori è una parte fissa. Se manca, allora "no" o "in parte" è una risposta onesta; un impegno su ciò che dovrebbe accadere non è di nostra competenza.

Dove questo figura nell'articolo 21, paragrafo 2, NIS2

L'articolo 21, paragrafo 2, della direttiva (UE) 2022/2555 menziona la sicurezza della catena di fornitura come una delle dieci misure che un'entità deve adottare, inclusa l'attenzione al rapporto tra l'entità e i suoi fornitori o prestatori di servizi diretti. Questo punto è spesso collegato ad altre misure dello stesso elenco: un fornitore che non segnala le vulnerabilità incide anche sul processo di identificazione e correzione delle vulnerabilità, e un incidente presso un fornitore deve seguire lo stesso percorso di un incidente presso l'impresa stessa. Se questa domanda è in assoluto obbligatoria dipende dal fatto che l'impresa stessa rientri nell'ambito di applicazione della direttiva — questa è una domanda separata con una risposta propria.