5.1. Politica di sicurezza della catena di approvvigionamento

a)

le pratiche in materia di cibersicurezza dei fornitori e dei fornitori di servizi, comprese le loro procedure di sviluppo sicuro;

b)

la capacità dei fornitori e dei fornitori di servizi di soddisfare le specifiche di cibersicurezza stabilite dai soggetti pertinenti;

c)

la qualità e la resilienza complessive dei prodotti delle tecnologie dell'informazione e della comunicazione (TIC) e dei servizi TIC e le misure di gestione dei rischi di cibersicurezza in essi incorporate, compresi i rischi e il livello di classificazione dei prodotti TIC e dei servizi TIC;

d)

la capacità dei soggetti pertinenti di diversificare le fonti di approvvigionamento e di limitare la dipendenza da un unico fornitore, se applicabile.

a)

i requisiti di cibersicurezza per i fornitori o i fornitori di servizi, compresi i requisiti relativi alla sicurezza nell'acquisizione di servizi TIC o prodotti TIC di cui al punto 6.1;

b)

i requisiti in materia di sensibilizzazione, competenze e formazione e, se opportuno, certificazioni adeguate, imposti ai dipendenti dei fornitori o dei fornitori di servizi;

c)

i requisiti relativi alla verifica dei precedenti personali dei dipendenti dei fornitori e dei fornitori di servizi;

d)

l'obbligo per i fornitori e i fornitori di servizi di notificare senza indebito ritardo ai soggetti pertinenti gli incidenti che presentano un rischio per la sicurezza dei sistemi informativi e di rete di tali soggetti;

e)

il diritto a effettuare audit o il diritto a ricevere relazioni di audit;

f)

l'obbligo per i fornitori e i fornitori di servizi di gestire le vulnerabilità che presentano un rischio per la sicurezza dei sistemi informativi e di rete dei soggetti pertinenti;

g)

i requisiti in materia di subappalto e, se i soggetti pertinenti consentono il subappalto, i requisiti di cibersicurezza per i subappaltatori conformemente ai requisiti di cibersicurezza di cui alla lettera a);

h)

gli obblighi per i fornitori e i fornitori di servizi al momento della risoluzione del contratto, quali il recupero e lo smaltimento delle informazioni ottenute dai fornitori e dai fornitori di servizi nell'esercizio dei loro compiti.

a)

monitorare periodicamente le relazioni sull'attuazione degli accordi sul livello dei servizi, se applicabile;

b)

esaminare gli incidenti relativi ai prodotti TIC e ai servizi TIC di fornitori e fornitori di servizi;

c)

valutare la necessità di riesami non programmati e documentare i risultati in modo comprensibile;

d)

analizzare i rischi presentati dalle modifiche relative ai prodotti TIC e ai servizi TIC dei fornitori e dei fornitori di servizi e, se opportuno, adottare tempestivamente misure di attenuazione.