Agenzia nazionale per la cybersicurezza: aggiornate le FAQ sulle misure di sicurezza per la supply chain dei soggetti NIS.

L'Agenzia per la Cybersicurezza Nazionale ha pubblicato nuovi chiarimenti interpretativi sul processo e i requisiti di sicurezza da implementare per proteggere la sicurezza della catena di approvvigionamento dei soggetti NIS 2, con l'obiettivo di agevolarne l'applicazione da parte dei soggetti interessati

Per supportare i soggetti NIS nell’adozione delle misure di sicurezza a protezione della loro supply chain, la FAQ MSB.13 indica le quattro fasi del relativo processo (valutazione del rischio associato alla fornitura; identificazione dei requisiti di sicurezza; enforcement dei requisiti e loro verifica).

Ai fini della valutazione del rischio associato alla fornitura, la FAQ MSB.14 ne elenca i criteri minimi da tenere in considerazione, mentre, con riferimento all’identificazione dei requisiti di sicurezza e al loro enforcement, le FAQ MSB.15 e MSB.16, rispettivamente, chiariscono che non è richiesto che tali requisiti siano definiti dal soggetto NIS per tutte le sue forniture e, conseguentemente, che non tutti i requisiti previsti dalle misure di sicurezza di base devono necessariamente essere ribaltati sul fornitore.

La FAQ MSB.17 specifica altresì che l’applicazione delle categorie di misure indicate dall’articolo 24 del decreto NIS, deve essere modulata fino alla eventuale esclusione di talune di esse (in funzione del contesto operativo, del livello di rischio e della criticità dei servizi affidati dalla singola Amministrazione) e la FAQ MSB.18 evidenzia che nei casi in cui l’operatore economico aggiudicatario sia costituito in forma di RTI, le misure di sicurezza possono essere soddisfatte dai soli componenti che erogano (anche parzialmente) la prestazione contrattuale che ha impatti sulla sicurezza informatica.

Infine, la FAQ MSB.19 precisa che, anche con riferimento ai contratti misti, l’applicazione dei requisiti di sicurezza deve essere modulata tenendo conto della loro proporzionalità, pertinenza e adeguatezza rispetto alle specifiche prestazioni affidate.