dobbiamo porre le stesse domande sulla sicurezza informatica ai nostri stessi fornitori

Sì, perché l'articolo 21 paragrafo 2 lo obbliga espressamente

Sì, nella maggior parte dei casi è necessario. L'articolo 21 paragrafo 2 della direttiva NIS2 specifica dieci misure che un'entità deve adottare, e il punto (d) riguarda specificamente la sicurezza della catena di approvvigionamento — inclusa la relazione con e tra ogni fornitore o prestatore di servizi. Se quindi il vostro cliente chiede informazioni sulla sicurezza della catena, non è sufficiente dimostrare ciò che fate voi stessi. Dovete anche poter dimostrare cosa richiedete ai vostri subappaltatori e come lo controllate.

Nella pratica, questo di solito significa un approccio stratificato, non una copia dell'intera lista di domande del vostro cliente. Da parte vostra, di solito richiedete: il subappaltatore ha in ordine le misure di base (accesso, backup, gestione degli incidenti), esiste una clausola contrattuale sull'obbligo di segnalazione in caso di incidente, e — per i fornitori critici — c'è una prova come una certificazione ISO 27001 o una dichiarazione propria. Quanto più importante è il subappaltatore nella vostra fornitura al cliente, tanto più specifici possono essere i requisiti che potete trasferire. Questa è la stessa domanda che il vostro cliente ora rivolge a voi su requisiti di sicurezza per i fornitori propri — voi siete qui nel mezzo della catena, non all'inizio.

Dove si trova nella direttiva e nella norma

L'obbligo stesso è contenuto nell'articolo 21 paragrafo 2 lettera (d) della direttiva NIS2, che menziona la sicurezza della catena come una delle dieci misure obbligatorie. Per la pratica olandese, questo si traduce nella Wet cybersecurity, il recepimento della NIS2 che entra in vigore il 15 agosto 2026 — da quel momento l'obbligo si applica formalmente anche al diritto olandese per le entità soggette alla legge. Chi può dimostrare che ciò è organizzato sistematicamente, spesso fa riferimento all'Allegato A dello standard ISO/IEC 27001, dove le relazioni con i fornitori e la sicurezza nella catena di approvvigionamento sono incluse come misure di controllo separate. Del resto, se la vostra azienda è soggetta alla direttiva NIS2 come entità è una questione separata che è indipendente da ciò che il vostro cliente vi richiede contrattualmente; questa differenza è affrontata nella domanda se l'azienda ricade nell'ambito di applicazione della direttiva.