Specifica degli standard di sicurezza nei contratti con fornitori e prestatori di servizi in relazione al NIS2

In ogni relazione contrattuale con fornitori e fornitori di servizi, gli standard di sicurezza sono indispensabili per soddisfare i requisiti della direttiva NIS2 e garantire la sicurezza delle tecnologie dell'informazione e della comunicazione (TIC) lungo l'intera catena di approvvigionamento. Di seguito sono riportati i principali elementi contrattuali che contribuiscono a garantire la cybersicurezza.

Conformità alla direttiva NIS2

2.1 Obbligo di conformità alla NIS2

Requisito: Ogni fornitore e fornitore di servizi che fornisce servizi essenziali o importanti deve dimostrare di essere conforme alla direttiva NIS2.

Obbligo: Tutte le misure di sicurezza rilevanti della direttiva NIS2 devono essere implementate e dimostrabili su richiesta.

Analisi del rischio e gestione del rischio

3.1 Esecuzione di analisi del rischio

Requisito: Esecuzione regolare di analisi del rischio riguardanti la sicurezza dei sistemi ICT.

Obbligo: I risultati di queste analisi devono essere messi a disposizione del cliente, e devono essere attuate le misure necessarie per mitigare i rischi.

3.2 Procedure di gestione del rischio

Requisito: Implementazione di una procedura di gestione del rischio in linea con la direttiva NIS2.

Obbligo: Miglioramenti continui delle misure di sicurezza, basati sui risultati delle analisi e sulle nuove minacce.

Misure di sicurezza

4.1 Controlli e misure di sicurezza

Requisito: Devono essere implementate misure tecniche e organizzative adeguate, come firewall, IDS, crittografia e aggiornamenti regolari del software.

Obbligo: Garantire aggiornamenti e tecnologie di sicurezza efficaci e regolari.

4.2 Controllo degli accessi

Requisito: Misure rigorose di controllo degli accessi ai sistemi e ai dati.

Obbligo: Accesso consentito solo alle persone autorizzate, con revisione e documentazione regolari delle autorizzazioni.

Obbligo di segnalazione degli incidenti di sicurezza

5.1 Segnalazione immediata degli incidenti di sicurezza

Requisito: Tutti gli incidenti che riguardano la sicurezza dei sistemi e che potrebbero avere un impatto sul cliente devono essere segnalati immediatamente.

Obbligo: La prima notifica deve avvenire entro 24 ore dalla scoperta, seguita da un rapporto completo entro una settimana.

5.2 Collaborazione nella gestione degli incidenti

Requisito: Stretta collaborazione nell'investigazione e risoluzione degli incidenti di sicurezza.

Obbligo: Fornitura di tutte le informazioni e risorse necessarie per contenere l'incidente e prevenire futuri eventi simili.

Audit e verifiche di sicurezza

6.1 Audit di sicurezza regolari

Requisito: Esecuzione regolare di audit da parte del cliente o di un revisore incaricato.

Obbligo: Comunicazione dei risultati e attuazione rapida delle misure correttive se necessario.

6.2 Diritto di audit

Requisito: Il cliente ha il diritto di eseguire audit per verificare la conformità ai requisiti della NIS2.

Obbligo: Deve essere garantito l'accesso a documenti, sistemi e strutture rilevanti.

Formazione e sensibilizzazione

7.1 Formazione del personale

Requisito: Formazione regolare del personale sugli standard di cybersicurezza e sulla NIS2.

Obbligo: Esecuzione almeno una volta all'anno, con prove disponibili su richiesta.

7.2 Sensibilizzazione alle minacce

Requisito: Devono essere implementati programmi di sensibilizzazione per le minacce attuali.

Obbligo: Garantire che i dipendenti siano preparati alle minacce e in grado di reagire in modo appropriato.

Penali contrattuali e responsabilità

8.1 Penali per mancato rispetto

Requisito: Clausole di penali per la mancata conformità agli standard di sicurezza o agli obblighi di segnalazione.

Obbligo: Penali per compensare eventuali perdite causate da violazioni della sicurezza.

8.2 Responsabilità

Requisito: Responsabilità per i danni causati dalla mancata conformità agli standard contrattuali.

Obbligo: Stipula di polizze assicurative che coprano eventuali richieste di risarcimento danni.

Disposizioni finali

9.1 Revisione e adeguamento regolari degli standard

Requisito: Revisione e adeguamento continui degli standard contrattuali in base a modifiche legislative o nuove minacce.

Obbligo: Conformità a tutti i requisiti aggiornati da parte del fornitore o del fornitore di servizi.

9.2 Risoluzione del contratto

Requisito: Diritto di risolvere il contratto in caso di gravi o ripetute violazioni degli standard di sicurezza.

Obbligo: Tutte le informazioni riservate devono essere distrutte o restituite in modo sicuro alla risoluzione del contratto.

Con questi elementi contrattuali, si garantisce che la cybersicurezza dei partner esterni sia sempre garantita e costantemente adeguata agli standard attuali.