Un cliente ti chiede conto della sicurezza

Se un tuo cliente rientra nel perimetro NIS2, ha un obbligo che riguarda te. L'art. 21(2)(d) della direttiva (UE) 2022/2555 gli impone di gestire la sicurezza della catena di approvvigionamento, compresi «gli aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi».

L'art. 21(3) va più a fondo: nel valutare quelle misure, il tuo cliente deve tenere conto delle «vulnerabilità specifiche per ogni diretto fornitore» e della «qualità complessiva dei prodotti e delle pratiche di cibersicurezza dei propri fornitori».

Non è discrezionale, e non è un eccesso di zelo del suo ufficio acquisti: è la ragione per cui il questionario esiste. La nota di Confindustria di gennaio 2025 lo dice in una riga: «anche i soggetti non direttamente interessati dall'applicazione della NIS 2 dovranno attivarsi e adottare misure idonee a garantire ai loro clienti un livello di sicurezza adeguato».

Il tuo cliente deve documentare la valutazione che ha fatto di te. Un modulo compilato a mano con dodici caselle «sì» non gli serve a niente: non ha una data verificabile, non dice su cosa è stato controllato, e chiunque può scriverlo. Quello che gli serve — e che può archiviare — è un documento tecnico che dica cosa è stato verificato, quando, e cosa è cambiato rispetto alla volta precedente.

È esattamente ciò che produce una verifica ricorrente della superficie esterna: i nomi e gli indirizzi raggiungibili da Internet, i problemi trovati in ordine di gravità con l'azione da fare, e il confronto con la verifica precedente.

• L'inventario di ciò che è raggiungibile da Internet: sottodomini, indirizzi IP con il loro operatore di rete, servizi esposti.
• I rilievi in ordine di gravità, ognuno con l'azione da fare.
• Di chi è la rete su cui sei esposto. Per ogni indirizzo, l'operatore che lo possiede e se rispondono anche nomi di terzi. Serve a te per verificare cosa è tuo prima di intervenire, e per rispondere quando il questionario chiede da quali fornitori dipendi — che è la domanda dell'art. 21(2)(d).
• Il confronto con la verifica precedente: nuovi, risolti, ancora aperti, con i nomi. È la prova documentale che le misure adottate producono un effetto — l'art. 21(2)(f).
• La checklist dell'art. 21(2), dieci lettere, con il codice della misura di base ACN corrispondente e l'indicazione di quali sono state verificate in quella scansione e quali no.
• Cinque righe già scritte che puoi incollare nella risposta al tuo cliente: cosa viene verificato, con che frequenza, qual è lo stato e cosa è in corso di sistemazione.
• L'impronta SHA-256 del report in copertina e in calce a ogni pagina: due copie dello stesso documento si confrontano senza doversi fidare di chi le consegna.