Fornitori e NIS2: obblighi di supply chain, questionari e rating

La sicurezza della catena di approvvigionamento è uno degli obblighi centrali della NIS2: il D.Lgs. 138/2024 chiede alle organizzazioni di valutare e gestire i rischi che arrivano dai fornitori, perché oggi la maggior parte degli incidenti gravi passa da lì — un gestionale in cloud compromesso, un fornitore di assistenza con credenziali di accesso ai tuoi sistemi, un componente software vulnerabile. Questa guida spiega cosa devi fare in pratica: censire, classificare, valutare con questionari e monitorare nel tempo.

Perché la supply chain è nel mirino

Attaccare direttamente un’azienda ben difesa è costoso; attaccare il suo fornitore più debole è molto più semplice, e l’effetto è lo stesso. Per questo la NIS2 non si accontenta che tu protegga i tuoi sistemi: ti chiede di considerare le vulnerabilità specifiche di ciascun fornitore diretto, la qualità dei suoi prodotti e delle sue pratiche di sicurezza. In concreto, il rischio fornitori diventa parte integrante della tua valutazione dei rischi — con la stessa dignità dei rischi tecnici interni.

C’è anche il rovescio della medaglia: se sei fornitore di un soggetto NIS2, aspettati di ricevere questionari e richieste contrattuali dai tuoi clienti. Sapere come funziona questo processo ti serve in entrambe le direzioni.

Passo 1: censire i fornitori

Il punto di partenza è un elenco completo e onesto. Non solo i fornitori IT: tutti quelli da cui dipendono i tuoi servizi. Vanno distinti in particolare i fornitori rilevanti ai fini NIS — quelli da cui dipendono direttamente i servizi che hai dichiarato ad ACN — dagli altri fornitori che è comunque utile tenere sotto controllo.

Per ogni fornitore registra almeno: che cosa ti fornisce, quali tuoi servizi ne dipendono, se ha accesso ai tuoi sistemi o ai tuoi dati, e chi è il referente. L’esperienza dice che questo semplice esercizio riserva sorprese: fornitori dimenticati con VPN ancora attive, servizi critici che dipendono da una ditta individuale, contratti scaduti mai rinnovati.

Passo 2: classificare per criticità

Non tutti i fornitori meritano lo stesso livello di attenzione, e trattarli tutti allo stesso modo è il modo migliore per non gestirne bene nessuno. La pratica consolidata è assegnare a ciascuno un livello di criticità (tier), in base a domande semplici:

• Se questo fornitore si ferma, i miei servizi essenziali si fermano?
• Ha accesso remoto o privilegiato ai miei sistemi?
• Tratta dati personali o riservati per mio conto?
• Quanto sarebbe difficile sostituirlo, e in quanto tempo?

Il risultato è una piramide: pochi fornitori critici in cima, che richiedono valutazioni approfondite e clausole contrattuali robuste; una fascia intermedia con controlli standard; una base ampia a bassa criticità, per cui basta il censimento. Una mappa delle dipendenze — quale fornitore sostiene quale servizio — completa il quadro e si rivela preziosa quando devi valutare l’impatto di un incidente che parte da terzi.

Passo 3: valutare con i questionari

Il questionario di assessment è lo strumento standard per valutare la postura di sicurezza di un fornitore: una serie di domande su organizzazione, misure tecniche, gestione degli incidenti, continuità operativa, spesso costruite su riferimenti riconosciuti come il NIST Cybersecurity Framework 2.0 o allineate agli ambiti delle misure NIS2. Perché funzioni davvero, valgono alcune regole:

• Proporzionalità: al fornitore critico il questionario completo, a quello marginale una versione ridotta — o nessuna
• Evidenze, non solo dichiarazioni: per i punti chiave chiedi documenti a supporto, come certificazioni o politiche
• Punteggio e soglie: le risposte devono produrre un rating confrontabile, con soglie che determinano azioni concrete
• Solleciti e tempi: un questionario senza scadenza e senza follow-up resta senza risposta per mesi

Una nota di realismo: molti fornitori strutturati rispondono ormai alle stesse domande decine di volte l’anno. Se il fornitore dispone già di certificazioni riconosciute o di documentazione di sicurezza validata, valutare quella documentazione può sostituire il questionario diretto, con meno attrito per entrambi.

Passo 4: dal rating alle decisioni

Il rating non è un voto da archiviare: è un ingresso per decisioni. Un fornitore critico con punteggio basso apre tre strade possibili — chiedergli un piano di rimedio con scadenze, aggiungere misure compensative dalla tua parte (segregazione degli accessi, monitoraggio rafforzato), o avviare la ricerca di un’alternativa. Qualunque strada scegli, va tracciata: davanti a un controllo, “abbiamo valutato il fornitore e deciso di accettare il rischio per queste ragioni” è una risposta difendibile; “abbiamo mandato un questionario” da sola non lo è.

Il contratto è l’altro strumento chiave: per i fornitori critici servono clausole su misure di sicurezza minime, obblighi di segnalazione tempestiva degli incidenti che ti riguardano, diritto di verifica e condizioni di uscita che ti permettano di recuperare i tuoi dati.

Passo 5: monitorare nel tempo

La valutazione di un fornitore fotografa un istante; il rischio evolve. Per questo il processo prevede il riesame periodico: nuove versioni del questionario a cadenza regolare (tipicamente annuale per i fornitori critici), con lo storico delle versioni che documenta se il fornitore migliora o peggiora. Il confronto V1/V2/V3 nel tempo è esattamente il tipo di evidenza che dimostra un processo vivo e non un adempimento una tantum. A questo si aggiungono i trigger straordinari: un incidente presso il fornitore, un cambio di proprietà, una modifica sostanziale del servizio giustificano una rivalutazione fuori ciclo.

Gli errori da evitare

Il questionario-fotocopia da 300 domande per tutti: produce attrito, risposte di facciata e nessuna informazione utile. Valutare una volta sola: un rating del 2024 non dice nulla sul fornitore del 2026. Ignorare i subfornitori critici: se il tuo fornitore dipende a sua volta da un terzo per il servizio che ti eroga, quel terzo è nel tuo perimetro di rischio. Tenere tutto in un foglio Excel condiviso: con decine di fornitori, versioni di questionari e solleciti da tracciare, il foglio di calcolo smette presto di essere una fonte affidabile — e in sede di controllo la tracciabilità è metà della risposta.