L’ACN ha pubblicato nuovi chiarimenti interpretativi sul processo e i requisiti di sicurezza da implementare per proteggere la sicurezza della catena di approvvigionamento dei soggetti NIS2.

L’Agenzia per la Sicurezza Nazionale (ACN) ha pubblicato gli aggiornamenti sulle FAQ relative alle misure di sicurezza dei soggetti NIS2. Sono quattro in particolare le FAQ di riferimento.

Per supportare i soggetti NIS nell’adozione delle misure di sicurezza a protezione della loro supply chain, la FAQ MSB.13 indica le quattro fasi del relativo processo:

• valutazione del rischio associato alla fornitura.
• Identificazione dei requisiti di sicurezza.
• Enforcement dei requisiti.
• La loro verifica. 

Ai fini della valutazione del rischio associato alla fornitura, la FAQ MSB.14 ne elenca i criteri minimi da tenere in considerazione. Con riferimento all’identificazione dei requisiti di sicurezza e al loro enforcement, le FAQ MSB.15 e MSB.16, rispettivamente, chiariscono che non è richiesto che tali requisiti siano definiti dal soggetto NIS per tutte le sue forniture.

E conseguentemente, che non tutti i requisiti previsti dalle misure di sicurezza di base devono necessariamente essere ribaltati sul fornitore.

La FAQ MSB.17 specifica altresì che l’applicazione delle categorie di misure indicate dall’articolo 24 del decreto NIS, deve essere modulata fino alla eventuale esclusione di talune di esse (in funzione del contesto operativo, del livello di rischio e della criticità dei servizi affidati dalla singola Amministrazione).

Le altre FAQ di riferimento

la FAQ MSB.18 evidenzia che nei casi in cui l’operatore economico aggiudicatario sia costituito in forma di RTI, le misure di sicurezza possono essere soddisfatte dai soli componenti che erogano (anche parzialmente) la prestazione contrattuale che ha impatti sulla sicurezza informatica.

Infine, la FAQ MSB.19 precisa che, anche con riferimento ai contratti misti, l’applicazione dei requisiti di sicurezza deve essere modulata tenendo conto di alcuni requisiti. Quali:

• la loro proporzionalità.
• Pertinenza.
• Adeguatezza.

Il tutto, ovviamente, in relazione all’entità e alla tipologia di prestazioni dei relativi soggetti NIS2 cui si applicano le stesse misure.

Vai al sito di Cybersecurity Italia.

L'articolo ACN aggiorna le FAQ sulle misure di sicurezza per la supply chain dei soggetti NIS2 sembra essere il primo su CyberSecurity Italia.