il mio cliente invia un questionario nis2 esteso mentre prima non era così cosa devo farne

Il suo cliente trasferisce il suo obbligo di catena

Questo di solito significa che il suo cliente stesso è soggetto alla Legge sulla sicurezza informatica, e che in qualità di entità essenziale o importante è obbligato a valutare la sicurezza dei propri fornitori. Tale obbligo deriva dalle dieci misure dell'articolo 21, paragrafo 2 della Direttiva NIS2, e una di queste riguarda specificamente la sicurezza della catena di approvvigionamento: l'organizzazione deve conoscere il livello di sicurezza dei suoi fornitori e deve poterlo dimostrare. Il suo cliente quindi non trasmette semplicemente questa domanda — è tenuto a farlo lui stesso, e in quel momento lei diventa parte della sua "catena di approvvigionamento". Per questo motivo il questionario arriva ora, anche se ha fornito servizi per anni senza che questo sia mai stato richiesto: l'obbligo è nuovo per lui, non per la vostra relazione.

Quello che può aspettarsi è una combinazione di domande che in precedenza rientravano in la politica di accesso e la gestione dei beni aziendali domande su la procedura in caso di incidenti di sicurezza e domande sulla resilienza dopo un'interruzione. Se non possiede una certificazione ISO 27001, di per sé di solito non è un problema — la direttiva non richiede che ogni fornitore sia certificato, richiede che il cliente sappia come si posiziona lei. Una descrizione delle sue misure specifiche, con prove dove le possiede, è allora una risposta valida. Dove non ha nulla, risponde che non c'è nulla; un elenco di soli "sì" senza alcuna documentazione sottostante comporta più rischi in caso di un successivo audit del suo cliente rispetto a un onesto "no, non ancora".

Perché questo le arriva ora: articolo 21, paragrafo 2

L'obbligo di valutare i fornitori si trova nell'articolo 21, paragrafo 2 della Direttiva (UE) 2022/2555, e per le entità olandesi è sviluppato nella Legge sulla sicurezza informatica, che entra in vigore il 15 agosto 2026. Se il suo cliente stesso è soggetto a questa legge, e quindi è obbligato a porre queste domande, di solito può verificarlo in base alle dimensioni e al settore della sua azienda — qualcosa che è anche rilevante per sapere se lei stesso come entità è soggetto alla direttiva.