NIS2 per i fornitori: non sei designati, ma i tuoi clienti sì

Come NIS2 raggiunge un fornitore mai designato

NIS2 si applica direttamente solo alle organizzazioni che classifica come soggetti essenziali o importanti, per settore e dimensione. Se non sei tra questi, nessuna autorità nazionale vi invierà un'ingiunzione. È qui che molti fornitori smettono di leggere, ed è qui che nasce l'equivoco.

La direttiva non regola direttamente i fornitori dei tuoi fornitori. Rende invece ciascun soggetto rientrante responsabile del rischio di cybersicurezza nella propria supply chain (articolo 21, paragrafo 2, lettera d). Per adempiere a tale obbligo, i tuoi clienti devono valutare, imporre requisiti e monitorare la sicurezza dei fornitori da cui dipendono. Se sei uno di questi, il loro obbligo giuridico diventa il tuo obbligo commerciale. Venite coinvolti in modo indiretto, attraverso la relazione e non attraverso una designazione.

Cosa deve fare il tuo cliente rientrante, e perché ricade su di voi

L'articolo 21, paragrafo 2, lettera d impone ai soggetti essenziali e importanti di gestire la sicurezza della supply chain, compresi gli aspetti di sicurezza del rapporto tra ciascun soggetto e i suoi fornitori o prestatori di servizi diretti. In pratica, il tuo cliente deve:

• Individuare quali fornitori sono critici per i suoi servizi e valutare il rischio informatico che ciascuno introduce.
• Fissare requisiti di sicurezza per quei fornitori e inserirli nei contratti e negli accordi sul trattamento dei dati.
• Verificare che i requisiti siano soddisfatti, non una volta in fase di onboarding ma in modo continuativo.
• Rispondere degli incidenti che hanno origine presso un fornitore, perché secondo NIS2 una interruzione causata da un fornitore resta l'incidente che il cliente deve gestire e notificare.
• Dimostrare alla propria autorità di vigilanza che questa supervisione dei fornitori avviene davvero.

Cosa vi chiederanno i clienti

Man mano che questa supervisione matura, le richieste che arrivano ai fornitori convergono verso un insieme riconoscibile:

• Un questionario di sicurezza o un'autovalutazione, spesso mappata sulle misure dell'articolo 21, paragrafo 2 o su uno standard come la ISO 27001.
• Prove a sostegno delle risposte: politiche, certificati e risultati recenti di test o scansioni, anziché affermazioni non documenta.
• Una clausola di notifica degli incidenti che vi impegni ad avvisare rapidamente il cliente quando qualcosa lo riguarda, così che rispetti le proprie scadenze di notifica.
• Requisiti di sicurezza contrattuali e, per i fornitori critici, un diritto di audit o di richiedere una garanzia indipendente.
• L'accettazione di un monitoraggio esterno continuo, perché un questionario puntuale compilato l'anno scorso non soddisfa più un obbligo di natura continuativa.

Le misure dell'articolo 21, paragrafo 2 che i clienti si aspettano da voi

Anche se l'articolo 21, paragrafo 2 vincola il tuo cliente e non voi, le sue dieci misure sono il modello che la maggior parte degli acquirenti riutilizza nel fissare requisiti ai fornitori. Conviene poter dimostrare, nella tua misura proporzionata, di affrontare ciascuna:

La notifica degli incidenti scorre in entrambe le direzioni

NIS2 impone ai soggetti rientranti tempi stretti: un preallarme entro 24 ore, una notifica più completa entro 72 ore e una relazione finale entro un mese (articolo 23). Non possono rispettarli se un fornitore tiene per sé una cattiva notizia. Per questo i loro contratti richiedono sempre più spesso che li avvisiate senza indugio quando un incidente riguarda, o potrebbe riguardare, i servizi che fornite loro.

Per un fornitore non designato la conseguenza pratica è semplice: vi serve un tuo processo per gli incidenti, con una chiara escalation interna e un modo definito di informare i clienti coinvolti, così che un problema dalla tua parte non diventi una scadenza mancata dalla loro. Un fornitore che rileva, contiene e comunica bene è molto più facile da mantenere di uno che tace.

Un requisito da trattare come un vantaggio

È facile leggere tutto questo come un peso imposto dalla regolamentazione di qualcun altro. I fornitori che riescono meglio lo leggono al contrario. Man mano che più acquirenti rientrano in NIS2 e stringono i controlli sulla supply chain, la capacità di rispondere in fretta e con prove a un questionario di sicurezza diventa un motivo per vincere e mantenere contratti, non un ostacolo da superare.

È vero anche il contrario, e in modo più silenzioso: i fornitori che non sanno dimostrare la propria posizione vengono sempre più spesso esclusi in fase di acquisto, spesso senza che venga detto loro il perché. Anticipare le domande, prima che un cliente le ponga, trasforma NIS2 da costo di conformità in leva di vendita.

Come rispondere in modo credibile

Non devi diventare un soggetto essenziale da un giorno all'altro. Devi essere pronti alle domande e in grado di sostenere le tue risposte. Un percorso proporzionato:

• Conoscete prima la tua posizione esterna: domini, certificati, autenticazione della posta, servizi esposti e vulnerabilità note, cioè proprio ciò che esaminerà la valutazione di un cliente.
• Colmate le lacune comuni che questionari e scansioni segnalano: imponete TLS 1.2+, pubblicate SPF, DKIM e DMARC, applicate le patch rapidamente, richiedi la MFA e rimuovete le interfacce di amministrazione esposte.
• Mettete per iscritto le basi: una breve politica di sicurezza delle informazioni, un processo per gli incidenti e l'indicazione di chi è responsabile della sicurezza. La prova batte l'affermazione.
• Tenete aggiorna le tue risposte. Tratta la garanzia come continua, perché è sempre più così che la trattano i tuoi clienti.
• Se servite acquirenti più grandi o regolamentati, valuta la ISO 27001 o equivalente come scorciatoia riconosciuta, ma non aspettatela per cominciare.

Come aiuta norppa.io

norppa.io offre a un fornitore non designato la stessa visione continua e basata su prove della propria sicurezza che un cliente NIS2 ora si aspetta di vedere. I tuoi domini vengono controllati su più di cento punti di controllo ogni giorno, quelli sensibili al tempo ogni sei ore, e ogni risultato è mappato all'articolo NIS2 cui si riferisce, così da poter rispondere a un questionario con prove attuali anziché affermazioni.

Il questionario di autovalutazione raccoglie i tuoi controlli di processo e contrattuali, e ogni risposta è confrontata con il profilo tecnico in tempo reale, così che quando l'ufficio acquisti di un cliente chiede prove possiate consegnare un quadro chiaro e corroborato invece di un foglio di calcolo che era vero la primavera scorsa.