perché sono responsabile della sicurezza dei miei fornitori

La catena è forte quanto l'anello più debole

La responsabilità della sicurezza dei fornitori ricade sulle entità essenziali e importanti perché la loro stessa sicurezza digitale dipende in larga misura dai sistemi, dal software e dai servizi di altri. Un'organizzazione può proteggere bene la propria rete, ma se un fornitore con accesso a questi sistemi è mal protetto, si crea un punto di ingresso che aggira le proprie misure. L'obbligo di diligenza non considera quindi solo i confini dell'organizzazione stessa, ma l'intera catena di fornitura sottostante.

In pratica questo colpisce molti più aziende di quelle soggette all'obbligo. Un'entità essenziale o importante che deve valutare la propria catena spesso trasmette questa valutazione sotto forma di questionario sulla sicurezza o requisito contrattuale ai propri fornitori, anche se questi ultimi non ricadono essi stessi nella legge. Chi riceve un questionario sulla sicurezza da un cliente si accorge così delle conseguenze della NIS2 senza esserne direttamente soggetto. Le misure coinvolte in questo processo sono descritte in i dieci controlli di sicurezza identificati dalla direttiva.

Dove ciò deriva dall'obbligo di diligenza

L'articolo 21 paragrafo 2 della direttiva NIS2 cita esplicitamente la protezione della catena di fornitura come parte dei dieci controlli di sicurezza che rientrano nell'obbligo di diligenza, comprendendo gli aspetti di sicurezza delle relazioni con i fornitori e i prestatori di servizi diretti. La Legge sulla cibersicurezza incorpora questo obbligo nella legislazione olandese. L'NCSC chiarisce che questo obbligo di diligenza è basato sul rischio: un'entità deve identificare dove si trovano i rischi nella catena e adottare misure appropriate, il che in pratica spesso significa richiedere ai fornitori la prova della loro sicurezza. ISO/IEC 27001 fornisce nell'Allegato A un insieme di controlli di sicurezza che affrontano le relazioni con i fornitori e che per questo motivo spesso ricompaiono come framework di riferimento in questo tipo di valutazioni.