Un committente che rientra personalmente nella Direttiva NIS2 non può limitare il proprio obbligo di diligenza all'organizzazione interna. Tale obbligo si estende lungo la catena di fornitura: il committente deve valutare quali rischi portano con sé i fornitori, e questo si traduce in requisiti contrattuali. Per il settore metalmeccanico e manifatturiero, spesso non si tratta solo di automazione d'ufficio, ma anche di macchinari, sistemi di controllo e linee di produzione collegati in qualche modo alla rete del committente o a Internet.
Le clausole più frequenti riguardano l'accesso, la separazione delle reti, la politica di aggiornamento e la segnalazione di incidenti al committente stesso — al di là dell'obbligo legale di segnalazione che vale solo per le entità soggette. Di seguito sono descritte quali disposizioni ricorrono e cosa significano nella pratica per un ambiente di produzione.
Quali disposizioni ricorrono nel contratto
I contratti rivisti dopo la NIS2 generalmente contengono una combinazione di obblighi: il diritto di inviare periodicamente questionari, un termine per la segnalazione di incidenti che incidono sulla prestazione del servizio al committente, un obbligo di dimostrare l'adozione di misure di sicurezza, e talvolta un diritto di audit. La formulazione varia considerevolmente a seconda del committente e del settore; non esiste un testo standard applicabile a tutti i contratti. Per avere un quadro più preciso di cosa sia ragionevole o meno richiedere, è utile consultare le domande più frequenti su cosa un acquirente può chiedere .
Importante distinguere: il committente pone questi requisiti in base al proprio obbligo di diligenza, non perché il fornitore rientri personalmente nella direttiva. Un costruttore di macchinari o un fornitore nel settore metalmeccanico e manifatturiero può quindi ricevere requisiti contrattuali senza essere personalmente un'entità essenziale o importante. Se questo accada per una relazione specifica dipende dal settore e dalla dimensione del committente e dal ruolo svolto dal fornitore in quella catena.
Cosa questo significa per i sistemi di produzione collegati alla rete
Nel settore metalmeccanico e manifatturiero, la combinazione di IT (automazione d'ufficio) e OT (tecnologia operativa come macchine CNC, PLC e linee di produzione) è un punto di attenzione ricorrente nelle domande poste dai committenti. I macchinari accessibili in remoto per la manutenzione, o che trasmettono dati di produzione a un ambiente cloud, sono sottoposti alla stessa attenzione di un laptop in ufficio.
Separazione tra la rete d'ufficio e la rete di produzione
Una domanda ricorrente è se la rete di produzione è separata da quella d'ufficio, e se un'interruzione o un'infezione su una rete possa diffondersi all'altra. Non è una domanda che riceve una risposta semplice sì o no in un questionario; le autorità di controllo e i committenti esaminano l'effettiva struttura, non una dichiarazione di intenti.
Accesso remoto per la manutenzione
Molti macchinari nel settore metalmeccanico e manifatturiero sono mantenuti da remoto dal fornitore della macchina stessa, talvolta attraverso una connessione permanente sempre attiva. I requisiti contrattuali spesso si concentrano specificamente su questo aspetto: chi ha accesso, come viene registrato tale accesso e può essere revocato in qualsiasi momento. Ciò riguarda sia il fornitore che costruisce il macchinario sia l'azienda che lo utilizza.
Cosa i committenti chiedono come prova
Oltre al questionario stesso, un committente spesso richiede una forma di documentazione: un documento politico, un elenco di chi ha accesso a quali sistemi, o una dichiarazione su come vengono gestiti gli aggiornamenti. Un certificato o una relazione di audit possono essere richiesti, ma di per sé non rappresentano un obbligo legale derivante da NIS2 — è una scelta del singolo committente. Per chi desideri verificare come questi requisiti contrattuali si rapportano alla propria posizione nella catena di approvvigionamento, è utile prima valutare in poche domande dove si trova la vostra organizzazione.
Cosa potete farne voi stessi
La maggior parte dei requisiti che ricorrono nei contratti per l'industria metalmeccanica e manifatturiera sono una conseguenza delle dieci misure di due diligence della direttiva: il controllo degli accessi, la segmentazione della rete, la registrazione degli incidenti e i piani di ripristino ricorrono tutti, ma focalizzati sulla domanda che pone il committente. Una panoramica per situazione, compresi gli argomenti specifici per gli ambienti di produzione, si trova in la panoramica dei temi per settore e situazione.
Per la formulazione precisa di un contratto, e per la questione se un requisito specifico sia ragionevole in relazione alla relazione, la consulenza legale rimane la strada consigliata; questo articolo descrive gli schemi ricorrenti, non la risposta a un contratto individuale. Ulteriori informazioni su da dove provengono le informazioni su questo sito e come vengono mantenute si trovano su la pagina su come curiamo le fonti.
Desiderate vedere rapidamente se la vostra organizzazione è coinvolta tramite la catena di approvvigionamento e quale passo successivo ne consegue? La verifica NIS2 gratuita fornisce una prima indicazione in poche domande, senza che abbiate bisogno di un account.