Cosa cambierà quest'anno nell'elenco di controllo sulla sicurezza informatica del vostro cliente?
Gli elenchi di controllo sulla sicurezza informatica che gli acquirenti inviano ai loro fornitori cambiano su due punti. In primo luogo, le domande diventano più concrete: anziché una generica domanda sì/no sulla politica di sicurezza, sempre più acquirenti chiedono una breve motivazione o una prova per ogni argomento. In secondo luogo, questi elenchi raggiungono un gruppo più ampio di aziende, anche aziende che non ricadono direttamente nella direttiva NIS2.
Il motivo è semplice. Le aziende che ricadono nella direttiva devono, secondo il testo della NIS2, anche verificare la sicurezza dei loro fornitori. Questo lo trasmettono nei loro stessi elenchi di controllo, e così la domanda arriva alle aziende che si trovano più avanti nella catena. Se ciò vale anche per la vostra azienda dipende da chi sono i vostri clienti e cosa vi chiedono; è meglio chiedere direttamente al cliente o verificare con un paio di domande che vi daranno rapidamente chiarezza.
Perché le domande diventano più dettagliate
La direttiva europea NIS2 descrive dieci categorie di misure a cui devono lavorare le organizzazioni che ricadono nella direttiva, come la gestione del rischio, la politica di accesso e la gestione degli incidenti. Gli acquirenti che devono rendere conto di queste misure possono farlo solo se sanno anche come i loro fornitori le affrontano. Questo spiega perché gli elenchi che in precedenza ponevano una sola domanda ampia, ora pongono una domanda separata per ogni categoria, spesso con la richiesta di allegare una breve prova.
Questo passaggio da domande generali a domande specifiche per ogni misura non è un adattamento una tantum. Gli acquirenti adattano il loro portale e formato man mano che ricevono maggiore chiarezza su cosa ci si aspetta da loro. Per voi come fornitore, questo significa che lo stesso cliente potrebbe inviare un elenco leggermente diverso l'anno prossimo, anche se non è cambiato nulla nella vostra azienda.
Chi questo anno ne è colpito
La direttiva stessa si rivolge alle organizzazioni in settori specifici e a partire da una determinata dimensione. Se un'azienda ne ricade, è descritto nella direttiva e nella legge nazionale che la attua; è qualcosa da verificare con un avvocato o l'autorità di vigilanza, non qualcosa che si può dedurre solo da un elenco di controllo. Quello che in pratica è evidente: anche le aziende che non ricadono direttamente nella direttiva ricevono domande trasmesse perché il loro cliente deve farlo.
Questo effetto a cascata è il principale cambiamento pratico di quest'anno. Un'impresa di installazione che mantiene il software per un fornitore di energia, o un fornitore di servizi IT che lavora per un ospedale, può ricevere un elenco di controllo più dettagliato senza che l'azienda stessa ricada nella direttiva. Lo sfondo delle dieci misure e cosa significano esattamente è sviluppato in banca dati con spiegazioni per argomento.
Cosa non è ancora definito
La direttiva doveva originariamente essere recepita nella legislazione nazionale degli Stati membri nell'ottobre 2024. Nei Paesi Bassi questo processo legislativo è ancora in corso e la forma esatta e il momento in cui la legge nazionale entrerà pienamente in vigore non erano ancora definitivamente stabiliti al momento della redazione. Ciò significa che gli obblighi esatti per le organizzazioni che ricadono nella legge, e i termini associati, possono ancora cambiare. Per lo stato attuale, il testo della direttiva stessa e le informazioni dell'autorità di vigilanza sono la fonte appropriata, non un elenco di controllo o un articolo di notizie.
Come affrontare questo senza ricominciare da capo ogni anno
Poiché le domande per cliente e per anno possono variare leggermente, è utile registrare correttamente le informazioni sottostanti una sola volta e compilare da lì ogni nuovo elenco. Ciò evita di ricominciare da zero con ogni nuovo questionario, anche se la formulazione della domanda è leggermente diversa rispetto all'anno scorso. Il funzionamento pratico è descritto nella pagina da dove provengono le informazioni.
Se avete dubbi o una domanda specifica in un elenco non è applicabile o meno alla vostra azienda, è qualcosa da discutere con il cliente stesso o con un consulente. Una panoramica delle domande frequenti su questo tipo di elenchi si trova nella pagina domande frequenti sui questionari.
Infine
Il nocciolo del cambiamento quest'anno non è che emerga un nuovo obbligo, ma che gli obblighi esistenti si estendono ulteriormente lungo la catena e vengono richiesti in modo più concreto. Se volete sapere rapidamente dove si trova attualmente la vostra azienda, fate la scansione rapida gratuita o leggete gli altri argomenti nella knowledge base.