il cliente vuole che firmiamo una dichiarazione sulla sicurezza posso farlo senza problemi

Sottoscrivere è permesso, ma leggi prima quello che c'è scritto

Sì, un cliente può chiederlo — una dichiarazione di sicurezza non è un obbligo legale ma un requisito contrattuale, e il cliente è libero di imporlo. Il punto non è se può chiederlo, ma se la dichiarazione copre quello che fate davvero. Una firma sotto "rispettiamo le dieci misure dell'articolo 21 paragrafo 2 NIS2" o sotto "siamo conformi a ISO 27001" è un impegno con valore contrattuale, non una casella da spuntare su un questionario. Se sorge una controversia — un incidente presso il cliente che risale a voi — quella dichiarazione è il primo documento che viene tirato fuori.

Guardate quindi prima il formato. La dichiarazione chiede un sì/no per ogni misura, o è un'unica affermazione in bianco "siamo conformi a NIS2"? La prima la potete supportare punto per punto; la seconda è spesso più ampia di quello che potete provare, soprattutto se non ricadete voi stessi sotto la direttiva ma siete fornitori di un'entità che lo fa — se l'azienda stessa rientra nella direttiva NIS2 è allora la prima domanda che vi ponete da soli. Non firmate mai un'affermazione su una misura che non potete indicare, ad esempio o se esiste un processo per identificare le vulnerabilità — se non l'avete, lo scrivete oppure chiedete una versione specificata.

Da dove viene la responsabilità

La dichiarazione stessa non trae il suo peso dalla Legge sulla cibersicurezza — che obbliga solo le entità designate stesse, non i loro fornitori direttamente — ma dal contratto che sottoscrivete. NIS2 funziona attraverso l'articolo 21 paragrafo 2, che obbliga le entità a gestire i rischi nella catena di approvvigionamento; questo è il motivo per cui quella entità ve lo chiede, non il motivo per cui siete vincolati a farlo. Quello che vi impegnate a fare è nella dichiarazione stessa, non nella direttiva.