NIS2 e supply chain: perché i tuoi fornitori sono diventati un tuo problema
La direttiva NIS2 ha cambiato le regole del gioco per migliaia di aziende italiane, e il punto più delicato non riguarda i firewall o gli antivirus: riguarda le persone e le aziende con cui lavori ogni giorno. Con NIS2 la sicurezza della supply chain diventa una responsabilità diretta del management, non un adempimento da delegare all’ufficio acquisti. Se un tuo fornitore viene compromesso e l’incidente si propaga fino ai tuoi sistemi, la domanda che ti verrà posta non sarà “chi è stato”, ma “come avevi valutato quel fornitore”.
È un cambio di paradigma che molte PMI stanno sottovalutando. Per anni la gestione dei fornitori si è ridotta a un questionario compilato in fase di onboarding e poi archiviato. NIS2 chiede qualcosa di diverso: un sistema di rating continuo della sicurezza dei fornitori critici, documentato e aggiornato nel tempo.
Cosa dice esattamente la direttiva
L’articolo 21 della NIS2 elenca le misure minime di gestione del rischio che i soggetti essenziali e importanti devono adottare. Tra queste compare esplicitamente la sicurezza della catena di approvvigionamento, inclusi gli aspetti di sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi fornitori diretti o fornitori di servizi.
La formulazione è volutamente ampia. Non parla solo di fornitori IT: comprende chiunque abbia un accesso, fisico o logico, ai tuoi processi critici. Il manutentore che si collega in VPN al macchinario di produzione, il consulente che riceve i tuoi file di contabilità, il software gestionale in cloud che custodisce l’anagrafica clienti.
In Italia il recepimento è avvenuto con il D.lgs. 138/2024, che affida ad ACN (Agenzia per la Cybersicurezza Nazionale) il ruolo di autorità competente. Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali, e fino a 7 milioni o l’1,4% per quelli importanti.
NIS2 supply chain: l’effetto a cascata sulle PMI non soggette
Ecco il punto che molti imprenditori scoprono tardi. Anche se la tua azienda non rientra formalmente nel perimetro NIS2, se fornisci beni o servizi a un’azienda che ci rientra, le richieste arriveranno comunque. Non come obbligo di legge diretto, ma come requisito contrattuale.
I numeri aiutano a capire la scala del fenomeno. In Italia si stima che i soggetti direttamente coinvolti dalla NIS2 siano diverse migliaia, tra energia, trasporti, sanità, banche, infrastrutture digitali, gestione rifiuti, alimentare e manifatturiero. Ognuno di questi soggetti ha in media decine o centinaia di fornitori. L’effetto moltiplicatore porta il perimetro reale a coinvolgere decine di migliaia di PMI italiane.
La conseguenza pratica è concreta: nei prossimi rinnovi contrattuali ti verranno chiesti questionari di sicurezza, evidenze documentali, clausole su notifica degli incidenti entro 24 ore, diritto di audit. Chi non è in grado di rispondere rischia di uscire dalle short list. La sicurezza sta diventando un requisito di accesso al mercato, esattamente come lo è stata la certificazione di qualità vent’anni fa.
Perché il questionario annuale non basta più
Il modello tradizionale ha un difetto strutturale: fotografa un istante. Un fornitore che a gennaio dichiara di avere l’MFA attivo su tutti gli accessi può, a giugno, aver subito un cambio di IT manager, aver migrato i sistemi e aver lasciato esposto un pannello di amministrazione.
Secondo i report di settore più recenti, gli attacchi che sfruttano la catena di fornitura come vettore di ingresso sono in crescita costante e rappresentano ormai una quota a doppia cifra degli incidenti gravi. Il caso più citato resta quello degli attacchi verso software gestionali e strumenti di trasferimento file, dove la compromissione di un singolo prodotto si è propagata a centinaia di organizzazioni clienti.
Il rating continuo serve proprio a questo: sostituire la fotografia con un monitoraggio che segnali i cambiamenti. È lo stesso principio del rating creditizio, applicato al rischio cyber.
Come valutare la sicurezza dei fornitori: un metodo in quattro passi
Non serve una struttura enterprise per costruire un sistema funzionante. Serve metodo e costanza. Ecco un percorso realistico per una PMI.
1. Mappa e classifica i fornitori
Il primo passo è il più noioso e il più trascurato: fare l’elenco. Non l’elenco contabile, ma quello degli accessi. Chi tocca i tuoi dati? Chi entra nei tuoi sistemi? Chi può fermare la tua produzione se si ferma lui?
Da qui ricava una classificazione su tre livelli. Fornitori critici (accesso diretto a dati sensibili o sistemi di produzione, impatto immediato sulla continuità operativa), fornitori rilevanti (accesso limitato o indiretto), fornitori standard (nessun accesso, sostituibili rapidamente). In una PMI manifatturiera tipica, i fornitori critici sono spesso meno di quindici su un totale di duecento. Concentra lì il 90% dello sforzo.
2. Definisci i criteri di rating
Il rating deve essere semplice abbastanza da poter essere aggiornato davvero. Quattro o cinque dimensioni sono sufficienti:
- Postura tecnica: gestione delle patch, MFA sugli accessi remoti, segmentazione di rete, backup testati.
- Governance: esistenza di policy scritte, referente sicurezza identificato, formazione del personale.
- Certificazioni e conformità: ISO/IEC 27001, SOC 2, adesione a framework riconosciuti, stato rispetto alla NIS2.
- Storico incidenti: incidenti dichiarati negli ultimi 24 mesi e qualità della risposta.
- Dipendenze di quarta parte: da chi dipende a sua volta il tuo fornitore (il cosiddetto fourth party risk).
Assegna un punteggio per dimensione e una soglia minima di accettabilità. Un fornitore critico sotto soglia non va escluso automaticamente: va inserito in un piano di rientro con scadenze.
3. Porta i requisiti nel contratto
Il rating senza leva contrattuale resta un esercizio teorico. Le clausole che contano davvero in ottica NIS2 sono poche e chiare: obbligo di notifica degli incidenti entro un termine definito (24 ore è lo standard che si sta affermando), diritto di audit o di richiesta evidenze, requisiti minimi di sicurezza esplicitati in allegato tecnico, obbligo di comunicare cambi rilevanti nell’infrastruttura, gestione della restituzione e cancellazione dei dati a fine rapporto.
Attenzione a un dettaglio che sfugge spesso: la responsabilità non si trasferisce con il contratto. Puoi contrattualizzare gli obblighi, ma verso l’autorità resti tu il soggetto responsabile. Il contratto ti serve come evidenza di diligenza, non come scudo.
4. Monitora e riesamina
Stabilisci una cadenza: riesame annuale per i fornitori critici, biennale per i rilevanti, più un riesame straordinario ogni volta che si verifica un evento rilevante (incidente pubblico, cambio di proprietà, migrazione tecnologica, scadenza di certificazione).
Tieni traccia di tutto in un registro unico. In caso di ispezione, la differenza tra un’azienda diligente e una inadempiente sta quasi sempre nella documentazione, non nelle intenzioni. Se hai bisogno di supporto operativo per costruire e mantenere questo impianto, i nostri servizi di cybersecurity includono anche l’accompagnamento alla conformità normativa.
Gli errori più comuni nelle PMI italiane
Il primo è confondere adempimento e sicurezza. Raccogliere cinquanta questionari e archiviarli produce carta, non protezione. Meglio quindici fornitori valutati bene che duecento valutati male.
Il secondo è ignorare i fornitori non tecnologici. L’azienda di pulizie con le chiavi del server room, lo studio paghe che riceve i dati del personale, il fornitore di badge e controllo accessi: tutti punti di ingresso reali.
Il terzo è non coinvolgere chi gestisce i rapporti. Chi tratta con i fornitori ogni giorno (acquisti, produzione, amministrazione) sa cose che nessun questionario intercetterà mai. Portali nel processo.
Il quarto riguarda il supporto quotidiano: molte segnalazioni utili (accessi anomali di un fornitore, richieste sospette via email che citano un partner reale) passano dall’assistenza tecnica. Un help desk strutturato diventa un sensore prezioso se chi risponde sa cosa segnalare e a chi.
Per chi lavora con enti pubblici il discorso si fa ancora più stringente, perché ai requisiti NIS2 si sommano quelli di ACN e delle linee guida AgID. Se la tua azienda opera in quel contesto, vale la pena approfondire le soluzioni dedicate alla pubblica amministrazione, dove la verifica della catena di fornitura è già oggi materia di gara.
Da dove partire concretamente
Se dovessi scegliere una sola azione da fare questo mese, sarebbe la mappatura degli accessi di terze parti. Un foglio con tre colonne: chi, a cosa accede, cosa succede se si ferma. Bastano poche ore di lavoro e produce quasi sempre almeno una sorpresa sgradevole, tipicamente un accesso remoto attivo di un fornitore con cui il contratto è scaduto da anni.
Da lì il resto viene in sequenza naturale: classificazione, criteri di rating, revisione contrattuale, calendario dei riesami. È un percorso di mesi, non di settimane, e va impostato ora perché i controlli e le richieste dei clienti stanno già arrivando.
La NIS2 non chiede alle PMI di diventare fortezze digitali. Chiede di sapere con chi si lavora, di scriverlo, e di rivederlo periodicamente. Chi lo fa per primo, oltre a essere conforme, si trova in mano un argomento commerciale: essere il fornitore che non crea problemi ai clienti soggetti a NIS2 è un vantaggio competitivo che vale più di molte campagne marketing.