Ciò che un cliente dei servizi ICT richiede dopo la NIS2
Un cliente che ricade esso stesso sotto l'obbligo di diligenza della NIS2 deve dimostrare di gestire anche i rischi nella sua catena di fornitura. Se fornite gestione remota, hosting, gestione delle applicazioni o un help desk a tale cliente, ciò viene riflesso nel contratto: requisiti su chi ha accesso ai sistemi, come tale accesso viene registrato, e se coinvolgete subappaltatori senza comunicarlo preventivamente.
I requisiti stessi variano a seconda del cliente e del settore, ma alcuni argomenti ricorrono quasi sempre: gestione dell'accesso, registrazione delle azioni di gestione, termini di notifica in caso di evento dannoso da parte vostra, e visibilità su chi altro è coinvolto nel lavoro. Quest'ultimo aspetto — i subappaltatori — è l'argomento su cui molti fornitori di servizi ICT trovano che il questionario si soffermi più a lungo.
Perché ora questo appare nel contratto
La direttiva NIS2 obbliga le organizzazioni soggette, nell'articolo 21, a valutare anche la sicurezza dei loro fornitori e prestatori di servizi. Un cliente che è esso stesso soggetto a obblighi di verifica non può dimostrarlo con una promessa verbale; ha bisogno di un accordo scritto che possa mostrare al suo stesso supervisore. Per voi come fornitore di servizi ICT, questo significa: la stessa domanda ritorna, solo ora documentata in un addendum o allegato al contratto invece che in un'e-mail separata.
Si tratta di un cambiamento nella forma, non necessariamente nella sostanza. Molte delle cose richieste probabilmente le stavate già facendo come gestori. La novità è che dovete poterlo dimostrare, con una data e un nome allegati.
Accesso ai sistemi dei clienti: cosa viene esattamente richiesto
I clienti chiedono sempre più spesso un elenco di chi ha accesso presso di loro, con quali diritti, e come tale accesso viene revocato quando qualcuno lascia il team. L'autenticazione a più fattori per l'accesso gestionale è ormai un requisito frequente, così come un registro che tiene traccia di quando e da chi è stato raggiunto un sistema. Alcuni contratti richiedono inoltre un punto di contatto fisso da parte vostra, in modo che il cliente non dipenda da chi è in servizio quella settimana.
La domanda di fondo del cliente è sempre la stessa: se qualcosa va storto, può risalire a chi aveva accesso dove e quando. Questo è anche il motivo per cui risposte generiche come "lavoriamo secondo le migliori pratiche" raramente sono sufficienti — viene richiesta una prova concreta, non un'intenzione.
Gestione remota: attenzione particolare all'autenticazione e alla registrazione
La gestione remota riceve un paragrafo separato in molti questionari, proprio perché un attaccante che entra lì può raggiungere in un passaggio più clienti. Le domande riguardano allora la crittografia della connessione, se l'accesso alla gestione remota è separato dalla rete ordinaria della vostra azienda, e quanto velocemente potete chiudere una sessione se sospettate un uso improprio. Anche qui vale: non si tratta di un giudizio su quanto sia buona la vostra sicurezza, ma se potete dimostrarlo.
Chi riceve questo tipo di domande per la prima volta, spesso lo vive come un'azione una tantum per un cliente. In pratica, la prova che raccogliete per un cliente, con piccoli adattamenti, può essere utilizzata anche per il successivo. affrontare gli argomenti per situazione fornisce un'idea di quali domande ricorrono per quale tipo di servizio.
Subappaltatori: il rischio che non controllate interamente
La parte più difficile per molti fornitori di servizi ICT non è la propria sicurezza, ma quella dei soggetti che essi incaricano: un fornitore di hosting, un servizio di monitoraggio, uno specialista freelance. Un committente che è esso stesso soggetto a obblighi di gestione del rischio vuole sapere se voi ricorrete a subappaltatori, chi sono, e se soddisfano requisiti comparabili. Alcuni contratti vi obbligano a comunicare in anticipo i cambiamenti in quella catena, oppure a trasferire contrattualmente gli stessi requisiti di sicurezza ai vostri fornitori.
Per una piccola azienda di servizi ICT non è sempre facile da organizzare, soprattutto se il subappaltatore stesso non ha idea del perché quella domanda gli viene rivolta all'improvviso. Un primo passo è una semplice panoramica: chi fa cosa per voi, e quale accordo avete documentato al riguardo. Senza quella panoramica, ogni nuovo questionario è di nuovo una ricerca da capo.
Cosa potete e non potete assicurare
È opportuno includere in un contratto solo i commiassi che potete anche supportare. Un committente che chiede i tempi di risposta in caso di incidente, un servizio 24/7 o una garanzia che non accada mai nulla, in realtà chiede una promessa che pochi fornitori di servizi ICT possono mantenere senza allestire un servizio separato e costoso. Spetta a voi e, dove necessario, a un legale valutare quali clausole sono ragionevoli e quali vanno oltre quello che l'obbligo di gestione del rischio del committente effettivamente richiede.
Se la vostra stessa organizzazione ricade direttamente sotto l'obbligo di gestione del rischio della Direttiva (UE) 2022/2555 — come entità essenziale o importante, o attraverso la catena di approvvigionamento — può essere verificato con alcune domandeQuesta distinzione determina se preparate solo risposte per i vostri clienti, o se dovete mantenere anche un vostro dossier.
Iniziamo
Per il committente, alla fine, non conta la vostra intenzione, ma se la risposta alla sua domanda è pronta nel momento in cui la chiede. Chi ha una volta per ogni misura documentato uno stato, una prova e un responsabile, non deve cercare di nuovo al prossimo questionario. Consultate quali sono i costi del dossier e dei questionari se volete affrontare questa preparazione in modo strutturale, oppure leggete prima le domande frequenti su come funziona la piattaforma.
Iniziate senza impegno con il controllo NIS2 gratuito per vedere se la vostra organizzazione è essa stessa soggetta a obblighi, colpita dalla catena, o nessuno dei due — e leggete nel knowledge base ulteriormente sui temi che contano per il vostro settore.