Quando un solo fornitore si ferma, lo shock lo sentono tutti
A settembre 2025 il mondo della cybersecurity ha ricevuto un altro promemoria di quanto siano fragili le catene di fornitura globali. Collins Aerospace, divisione di RTX Corporation e fornitore importante sia della difesa sia dell’aviazione commerciale, è finita sotto stretta osservazione dopo che sono emerse segnalazioni che collegavano reti di fornitori compromesse a interruzioni operative nei partner europei. L’episodio non è stato un caso isolato: è stato un caso di studio proprio di quel rischio a cascata che la direttiva NIS2 dell’Unione europea è stata pensata per affrontare.
Per le PMI europee, in particolare quelle che operano in Italia e nel resto dell’UE, il messaggio è netto: la tua cybersecurity è forte quanto l’anello più debole della tua catena di fornitura. E con la NIS2 ignorare questa realtà comporta ormai conseguenze economiche e legali serie.
Cos’è successo con Collins Aerospace e perché conta
Collins Aerospace fornisce componenti e sistemi critici a compagnie aeree, aeroporti e organizzazioni della difesa in tutto il mondo. Quando i threat actor prendono di mira un’azienda di questa portata, il danno non resta contenuto. Credenziali compromesse, aggiornamenti software manomessi o sistemi interni violati in un singolo fornitore di secondo livello possono propagarsi e paralizzare l’operatività di decine di partner a valle.
Lo schema non è nuovo. L’attacco alla supply chain di 3CX nel 2023 ha coinvolto circa 600.000 aziende nel mondo, molte europee. La vulnerabilità di MOVEit Transfer, sfruttata dal gruppo ransomware Clop, ha colpito organizzazioni come la BBC, British Airways e Shell. Secondo ENISA, il 62% degli attacchi informatici alle organizzazioni sfrutta oggi la fiducia insita nelle relazioni con i fornitori.
Ciò che rende lo scenario Collins Aerospace particolarmente istruttivo è il settore coinvolto. Le catene di fornitura di aviazione e difesa sono profondamente interconnesse oltre i confini. Una violazione in un nodo non compromette soltanto i dati: può bloccare voli a terra, ritardare la prontezza militare e incrinare la fiducia in infrastrutture critiche che attraversano l’intero continente.
NIS2 e le nuove regole per la sicurezza della supply chain
La direttiva NIS2, che gli Stati membri dell’UE dovevano recepire nel diritto nazionale entro ottobre 2024, cambia in modo radicale l’approccio alla cybersecurity delle imprese europee. L’Italia l’ha recepita con il D.lgs. 138/2024, in vigore da ottobre 2024, e l’applicazione è ormai una realtà.
Chi rientra nella NIS2
La direttiva riguarda due categorie: i soggetti essenziali (energia, trasporti, sanità, infrastrutture digitali) e i soggetti importanti (servizi postali, gestione dei rifiuti, manifattura, produzione alimentare e altri). Le medie e grandi imprese di questi 18 settori, cioè quelle con almeno 50 dipendenti o oltre 10 milioni di euro di fatturato annuo, rientrano direttamente nell’ambito di applicazione.
Ma qui diventa critico per le PMI. Anche se la tua azienda è sotto quelle soglie, è quasi certo che tu sia coinvolto se fornisci prodotti o servizi a organizzazioni che rientrano nell’ambito. L’articolo 21 della NIS2 impone esplicitamente ai soggetti interessati di valutare e gestire i rischi di cybersecurity lungo l’intera catena di fornitura. Questo significa che i tuoi clienti più grandi cominceranno a chiederti, per contratto, la prova della tua postura di sicurezza.
Cosa richiede la NIS2 per le catene di fornitura
Gli obblighi sono specifici e non negoziabili:
- Valutazioni del rischio di tutti i fornitori diretti e dei prestatori di servizi, per valutare la qualità complessiva delle loro pratiche di cybersecurity.
- Requisiti contrattuali di cybersecurity inseriti negli accordi con i fornitori: non semplici promesse di impegno, ma obblighi vincolanti.
- Notifica degli incidenti entro 24 ore per l’allerta precoce e entro 72 ore per la notifica completa al CSIRT nazionale competente.
- Audit periodici e monitoraggio continuo delle misure di sicurezza dei terzi.
Per una piccola società di servizi IT a Milano o per un produttore di componenti in Veneto, questo significa che la telefonata del cliente più importante che chiede del tuo piano di risposta agli incidenti non è ipotetica. Sta per arrivare, se non è già arrivata.
Il costo reale della non conformità
La NIS2 introduce sanzioni che le imprese europee non possono permettersi di ignorare. I soggetti essenziali rischiano multe fino a 10 milioni di euro o al 2% del fatturato annuo globale, se superiore. I soggetti importanti rischiano multe fino a 7 milioni di euro o all’1,4% del fatturato.
Forse ancora più rilevante per i titolari di PMI: l’alta dirigenza può essere ritenuta personalmente responsabile. Amministratori e dirigenti di vertice possono rischiare l’interdizione temporanea dagli incarichi direttivi se la loro organizzazione non rispetta i requisiti della NIS2. Non è soltanto un rischio aziendale: è anche personale.
Secondo le proiezioni di Gartner, entro il 2025 era atteso che il 45% delle organizzazioni nel mondo subisse attacchi alla supply chain del software, il triplo rispetto al 2021. Il quadro normativo sta recuperando terreno rispetto allo scenario delle minacce, e le autorità europee segnalano di avere intenzione di farlo rispettare.
Passi pratici per le PMI italiane ed europee
Se gestisci una PMI che fornisce beni o servizi a imprese europee più grandi, ecco cosa dovresti fare adesso.
Mappa l’esposizione della tua supply chain
Comincia a individuare quali tra i tuoi clienti rientrano nell’ambito della NIS2. Se servi aziende dell’energia, della sanità, dei trasporti, delle infrastrutture digitali o della manifattura, aspettati che i requisiti contrattuali di cybersecurity vengano trasferiti a te. Documenta anche i tuoi fornitori: la tua vulnerabilità è la loro vulnerabilità.
Investi nelle misure di sicurezza di base
Non serve il budget di sicurezza di una Fortune 500, ma i fondamentali devono esserci. Autenticazione a più fattori, patching regolare, comunicazioni cifrate, controlli degli accessi e un piano di risposta agli incidenti testato sono il minimo. ENISA pubblica indicazioni non vincolanti pensate per le PMI, che vale la pena consultare.
Preparati alle richieste contrattuali
I tuoi clienti più grandi inizieranno, o hanno già iniziato, a inserire clausole di cybersecurity nei contratti con i fornitori. Preparati a dimostrare la conformità a framework riconosciuti come ISO 27001 o, almeno, a mostrare policy e procedure documentate. Prepararsi in anticipo qui è un vantaggio competitivo, non solo un esercizio di conformità.
Costruisci una capacità di risposta agli incidenti
L’obbligo di allerta precoce entro 24 ore previsto dalla NIS2 significa che non puoi permetterti di scoprire una violazione di venerdì e affrontarla il lunedì. Anche un piano di risposta agli incidenti snello, provato ogni trimestre, ti mette davanti alla maggior parte delle PMI europee. Sappi chi contattare, cosa segnalare e come contenere il danno prima che si propaghi ai tuoi clienti.
La sicurezza della supply chain non è più facoltativa
Il caso Collins Aerospace ricorda che gli attacchi alla supply chain non sono scenari teorici discussi nelle conferenze di cybersecurity. Sono realtà operative che bloccano le aziende, danneggiano la reputazione e ora fanno scattare conseguenze normative in tutta Europa.
Per le PMI italiane ed europee la direttiva NIS2 ha spostato i paletti in modo permanente. La cybersecurity non è più solo una questione del reparto IT: è una responsabilità del consiglio di amministrazione, con una responsabilità personale collegata. Le aziende che riconoscono per tempo questo cambiamento e agiscono eviteranno le sanzioni e si posizioneranno come partner affidabili in un mercato europeo sempre più attento alla sicurezza.
La domanda non è più se la tua supply chain verrà messa alla prova. È se sarai pronto quando accadrà.