Per supportare i soggetti NIS nell\u2019adozione delle misure di sicurezza a protezione della loro supply chain, la FAQ MSB.13 indica le quattro fasi del relativo processo (valutazione del rischio associato alla fornitura; identificazione dei requisiti di sicurezza; enforcement dei requisiti e loro verifica).\u00a0<\/p>\n
Ai fini della valutazione del rischio associato alla fornitura, la FAQ MSB.14 ne elenca i criteri minimi da tenere in considerazione, mentre, con riferimento all\u2019identificazione dei requisiti di sicurezza e al loro enforcement, le FAQ MSB.15 e MSB.16, rispettivamente, chiariscono che non \u00e8 richiesto che tali requisiti siano definiti dal soggetto NIS per tutte le sue forniture e, conseguentemente, che non tutti i requisiti previsti dalle misure di sicurezza di base devono necessariamente essere ribaltati sul fornitore.<\/p>\n
\u00a0La FAQ MSB.17 specifica altres\u00ec che l\u2019applicazione delle categorie di misure indicate dall\u2019articolo 24 del decreto NIS, deve essere modulata fino alla eventuale esclusione di talune di esse (in funzione del contesto operativo, del livello di rischio e della criticit\u00e0 dei servizi affidati dalla singola Amministrazione) e la FAQ MSB.18 evidenzia che nei casi in cui l\u2019operatore economico aggiudicatario sia costituito in forma di RTI, le misure di sicurezza possono essere soddisfatte dai soli componenti che erogano (anche parzialmente) la prestazione contrattuale che ha impatti sulla sicurezza informatica.<\/p>\n
Infine, la FAQ MSB.19 precisa che, anche con riferimento ai contratti misti, l\u2019applicazione dei requisiti di sicurezza deve essere modulata tenendo conto della loro proporzionalit\u00e0, pertinenza e adeguatezza rispetto alle specifiche prestazioni affidate.<\/p>\n