Cosa cambia con la NIS2 per la supply chain
La NIS2 supply chain è oggi uno dei temi più delicati sul tavolo di chi guida un’azienda italiana, perché la direttiva europea 2022/2555 (recepita in Italia con il D.Lgs. 138/2024) sposta il baricentro della sicurezza informatica: non basta più proteggere il perimetro aziendale, bisogna dimostrare di conoscere e controllare il rischio che arriva dai propri fornitori. In altre parole, la responsabilità non si ferma al cancello dello stabilimento o al firewall del data center, ma segue la catena di chi fornisce software, servizi cloud, manutenzione, logistica e consulenza.
L’articolo 21 della direttiva è esplicito su questo punto: tra le misure minime di gestione del rischio compare la “sicurezza della catena di approvvigionamento”, inclusi gli aspetti relativi ai rapporti tra ciascun soggetto e i suoi fornitori diretti. Non è una raccomandazione generica, è un obbligo verificabile in sede di ispezione.
Il dato che rende il tema urgente arriva dalle statistiche di settore: secondo l’ENISA Threat Landscape, gli attacchi che sfruttano la supply chain rappresentano una quota crescente degli incidenti gravi in Europa, e il Rapporto Clusit registra da anni un aumento a doppia cifra degli attacchi verso l’Italia, con le PMI sempre più bersagliate proprio perché considerate l’anello debole per arrivare a clienti più grandi.
Chi è coinvolto davvero
Molti imprenditori pensano che la NIS2 riguardi solo le grandi utility o le telecomunicazioni. È un errore di lettura. La direttiva si applica a soggetti essenziali e importanti in 18 settori, tra cui manifatturiero (dispositivi medici, elettronica, macchinari, autoveicoli), alimentare, gestione rifiuti, chimica, servizi postali, ICT e servizi digitali, con soglie che partono da 50 dipendenti o 10 milioni di euro di fatturato.
Ma c’è un secondo effetto, spesso più impattante del primo: anche un’azienda fuori perimetro riceve richieste di conformità dai propri clienti che invece sono dentro. Questo è il vero motore della trasformazione. Se fornite componenti a un’azienda soggetta alla NIS2, riceverete questionari, clausole contrattuali e richieste di evidenze. La NIS2 per i fornitori si traduce in un requisito commerciale prima ancora che normativo: chi non risponde in modo credibile rischia di uscire dalle short list.
L’ACN (Agenzia per la Cybersicurezza Nazionale) ha già gestito le prime finestre di registrazione dei soggetti obbligati e ha definito la tassonomia degli incidenti da notificare, con l’obbligo di preallarme entro 24 ore e notifica completa entro 72 ore. Su questi aspetti abbiamo raccolto un approfondimento dedicato nella nostra guida alla conformità NIS2.
Gestione rischio fornitori NIS2: da dove partire concretamente
La gestione rischio fornitori NIS2 non richiede di trasformare l’ufficio acquisti in un dipartimento di cybersecurity. Richiede però un metodo ripetibile e documentato. Ecco i passaggi che funzionano nella pratica, anche con risorse limitate.
1. Costruire l’inventario dei fornitori critici
Il primo ostacolo è banale ma reale: quasi nessuna PMI ha un elenco aggiornato di chi ha accesso ai propri sistemi e dati. Il punto di partenza è una mappa che risponda a tre domande per ciascun fornitore: a quali dati accede, a quali sistemi si collega, quanto durerebbe il fermo operativo se sparisse domani mattina.
Da questa mappa si ricava una classificazione per criticità. Un fornitore che gestisce il gestionale ERP o che ha accesso VPN alla rete di produzione sta su un piano completamente diverso rispetto al fornitore di cancelleria. Concentrare gli sforzi sui primi venti nomi della lista produce l’80% del risultato.
2. Portare la sicurezza nel contratto
Le clausole contrattuali sono lo strumento più sottovalutato e più efficace. Un contratto ben scritto deve prevedere l’obbligo di notifica degli incidenti entro tempi compatibili con i vostri (quindi meno di 24 ore, per permettervi di rispettare la scadenza verso l’ACN), il diritto di audit o almeno la consegna di certificazioni valide, i requisiti minimi di sicurezza (autenticazione a più fattori, cifratura, gestione delle patch) e le regole di sub-fornitura.
Quest’ultimo punto è cruciale: molti fornitori si appoggiano a loro volta ad altri operatori, e la catena si allunga senza che nessuno ne abbia visibilità. Chiedere trasparenza sui subappalti tecnologici è legittimo e sempre più comune.
3. Verificare, non fidarsi sulla parola
Il questionario di autovalutazione è il punto di partenza, non l’arrivo. Per i fornitori critici serve qualcosa di più solido: certificazioni ISO/IEC 27001 valide e con scope pertinente, report di penetration test recenti, evidenza di un piano di continuità operativa testato.
Un consiglio pratico: il numero delle domande conta meno della loro qualità. Un questionario da 200 voci che nessuno legge davvero produce solo carta. Venti domande mirate, con richiesta di evidenza documentale su cinque punti chiave, sono molto più utili in caso di ispezione.
Tracciabilità del software: SBOM e AIBOM
Qui entriamo nel terreno più tecnico, ma con implicazioni molto concrete. La SBOM (Software Bill of Materials) è l’elenco dettagliato di tutti i componenti che compongono un software: librerie, dipendenze, versioni, licenze. Funziona come l’etichetta degli ingredienti su un prodotto alimentare.
Perché serve? Quando esplode una vulnerabilità critica, come è successo con Log4Shell nel dicembre 2021, la domanda che paralizza le aziende è sempre la stessa: “quel componente ce l’abbiamo dentro da qualche parte?”. Chi aveva una SBOM ha risposto in poche ore. Chi non l’aveva ha impiegato settimane, spesso scoprendo troppo tardi di essere esposto.
Il Cyber Resilience Act europeo renderà la SBOM un requisito di fatto per i prodotti con elementi digitali immessi sul mercato UE, con applicazione piena dal dicembre 2027. Iniziare a chiederla oggi ai propri fornitori software significa arrivare preparati e, nel frattempo, ridurre il tempo di reazione agli incidenti.
L’AI entra nella catena di fornitura
L’AIBOM (AI Bill of Materials) estende lo stesso principio ai sistemi di intelligenza artificiale: quali modelli vengono usati, su quali dati sono stati addestrati, quali API esterne vengono interrogate, dove finiscono i dati inviati.
È un tema che tocca ogni PMI che ha introdotto un chatbot, uno strumento di analisi documentale o un assistente per il customer service. Spesso questi strumenti sono stati adottati dalle singole funzioni aziendali senza passare dall’IT, creando quello che viene chiamato “shadow AI”. Dal punto di vista della sicurezza supply chain aziende, un modello linguistico che riceve documenti riservati è un fornitore a tutti gli effetti, e va trattato come tale.
L’AI Act europeo, con le prime scadenze già operative dal 2025 e l’applicazione progressiva fino al 2027, aggiunge un ulteriore livello di obblighi documentali. Governare oggi l’uso dell’AI in azienda significa evitare rincorse affannose domani.
NIS2 cosa fare per le imprese: la roadmap dei primi 90 giorni
Se state leggendo questo articolo con la sensazione di essere in ritardo, la buona notizia è che un percorso strutturato produce risultati visibili in un trimestre. Ecco come impostarlo.
Primi 30 giorni. Verificate se rientrate nel perimetro NIS2 e completate la registrazione sulla piattaforma ACN se dovuta. In parallelo, costruite l’inventario dei fornitori e classificateli per criticità. Nominate un referente interno per la sicurezza: la direttiva richiede il coinvolgimento diretto degli organi di gestione, che rispondono personalmente della vigilanza sulle misure adottate.
Giorni 30-60. Inviate il questionario di valutazione ai fornitori critici e avviate la revisione contrattuale con il supporto legale. Definite le procedure interne di gestione incidenti, con ruoli, tempistiche e canali di notifica chiari. Testatele con una simulazione, anche semplice.
Giorni 60-90. Colmate i gap emersi, formate il personale (l’errore umano resta il vettore d’ingresso più frequente) e producete la documentazione che dimostra il percorso seguito. In caso di controllo, la capacità di esibire un processo tracciato pesa quanto le misure tecniche implementate.
Le sanzioni previste dal decreto italiano arrivano fino a 10 milioni di euro o al 2% del fatturato annuo mondiale per i soggetti essenziali, e fino a 7 milioni o all’1,4% per quelli importanti. Ma il rischio economico più immediato, per una PMI, resta l’esclusione dalle forniture verso clienti strutturati.
Non fatelo da soli, ma non delegatelo del tutto
La conformità non si compra come un prodotto a scaffale. Serve però un partner che porti metodo, strumenti di monitoraggio e capacità di risposta rapida quando qualcosa va storto. Un presidio di help desk strutturato, per esempio, fa la differenza tra un incidente circoscritto in un’ora e un fermo di due giorni.
Per le organizzazioni che lavorano con enti pubblici il quadro è ancora più stringente, perché si sommano i requisiti dell’ACN e le regole sugli appalti: chi opera come fornitore della pubblica amministrazione deve dimostrare conformità già in fase di gara.
Il senso ultimo della NIS2 non è produrre documenti, è rendere l’azienda capace di resistere e ripartire. Le imprese che hanno affrontato il percorso con questo spirito raccontano un effetto collaterale positivo: processi più chiari, fornitori più affidabili e una fotografia finalmente aggiornata di come funziona davvero la propria infrastruttura. Un investimento in cybersecurity che si ripaga ben oltre l’adempimento normativo.