Sicurezza della catena di fornitura (supply chain) nella NIS 2: cosa fare
La NIS 2 richiede alle entità essenziali e importanti di gestire i rischi di cybersicurezza legati ai propri fornitori e fornitori di servizi diretti. Non basta proteggere i sistemi interni: bisogna mappare i fornitori, valutarne il livello di sicurezza, fissare requisiti nei contratti e controllarli nel tempo. La sicurezza della catena di fornitura è una delle misure minime di gestione del rischio previste dall'articolo 21 della Direttiva (UE) 2022/2555, recepita in Italia con il D.Lgs. 138/2024.
Cosa si intende per sicurezza della supply chain nella NIS 2
Per supply chain, in ambito NIS 2, si intende l'insieme di fornitori, produttori e prestatori di servizi da cui un'organizzazione dipende per erogare i propri servizi: software house, cloud provider, gestori di servizi IT e di sicurezza gestiti (MSP e MSSP), fornitori di hardware, società di manutenzione e consulenza.
Il motivo è semplice: un attacco può arrivare attraverso un partner meno protetto. Un aggiornamento software compromesso, un accesso remoto di un manutentore o un servizio cloud non configurato correttamente possono diventare la porta d'ingresso verso la tua infrastruttura.
La Direttiva parla di aspetti di sicurezza relativi ai rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi. Il perimetro di riferimento sono quindi i fornitori diretti, ma è buona prassi capire anche da quali subfornitori critici questi dipendano.
Obblighi verso fornitori e terze parti
La NIS 2 prevede che le misure di gestione del rischio siano adeguate e proporzionate. Tra queste, la sicurezza della catena di approvvigionamento è indicata espressamente. In concreto, l'organizzazione deve:
- Considerare le vulnerabilità specifiche di ciascun fornitore diretto e di ciascun prestatore di servizi.
- Valutare la qualità complessiva dei prodotti e le pratiche di cybersicurezza dei fornitori, comprese le procedure di sviluppo sicuro.
- Tenere conto degli esiti delle valutazioni coordinate dei rischi per le catene di fornitura critiche, svolte a livello europeo dal Gruppo di cooperazione NIS.
La responsabilità resta in capo all'organizzazione. Gli organi di amministrazione e direttivi devono approvare le misure di gestione del rischio e supervisionarne l'attuazione, e possono rispondere in caso di violazioni. Esternalizzare un servizio non significa esternalizzare la responsabilità della sua sicurezza.
Le misure di dettaglio e le modalità operative sono definite a livello nazionale dall'Agenzia per la Cybersicurezza Nazionale (ACN). Conviene quindi verificare sempre i provvedimenti ACN più aggiornati applicabili al proprio settore e alla propria classificazione.
Come valutare il rischio dei fornitori
Un approccio pratico, adatto anche alle organizzazioni che partono da zero, segue questi passaggi.
1. Censire i fornitori
Costruisci un inventario di tutti i fornitori che trattano dati, accedono ai sistemi o supportano servizi rilevanti. Includi software, cloud, reti, assistenza, outsourcing e fornitori di componenti hardware.
2. Classificare per criticità
Per ogni fornitore valuta, ad esempio:
- quanto il tuo servizio dipende da lui e se esistono alternative;
- il tipo di accesso a sistemi e dati (amministrativo, remoto, limitato);
- la sensibilità dei dati trattati;
- l'impatto di un suo incidente sulla continuità operativa.
Questa classificazione permette di concentrare gli sforzi sui fornitori davvero critici, evitando controlli sproporzionati su quelli marginali.
3. Raccogliere evidenze
Per i fornitori più critici puoi richiedere questionari di sicurezza, certificazioni riconosciute (come la ISO/IEC 27001, se presente), report di audit o test, politiche di gestione delle vulnerabilità e degli incidenti. Una certificazione è un'evidenza utile, ma non sostituisce la valutazione del rischio specifico per il tuo caso d'uso.
4. Documentare e trattare i rischi
Registra gli esiti, le lacune emerse e le azioni decise: richiedere miglioramenti, introdurre controlli compensativi (per esempio limitare gli accessi), accettare formalmente il rischio residuo o cambiare fornitore. La documentazione è fondamentale per dimostrare la diligenza in caso di verifica.
Clausole contrattuali e requisiti di sicurezza
Il contratto è lo strumento con cui trasformi i requisiti in obblighi. Per i fornitori rilevanti, valuta di inserire:
- Requisiti minimi di sicurezza: gestione degli accessi, autenticazione a più fattori, cifratura, gestione delle patch, backup.
- Notifica degli incidenti: tempi e modalità con cui il fornitore ti avvisa. Considera che le entità NIS 2 devono inviare un preallarme entro 24 ore dalla conoscenza di un incidente significativo e una notifica entro 72 ore, quindi il fornitore deve informarti rapidamente.
- Diritto di audit e di richiesta evidenze: possibilità di verificare le misure adottate, direttamente o tramite report di terzi.
- Gestione dei subfornitori: obbligo di informarti e di estendere requisiti equivalenti ai subappaltatori.
- Sviluppo sicuro e gestione delle vulnerabilità: per chi fornisce software o prodotti, impegni su test, aggiornamenti e comunicazione delle falle.
- Continuità e uscita dal contratto: piani di continuità, restituzione o cancellazione sicura dei dati, supporto in caso di cessazione.
- Riservatezza e trattamento dei dati, in coerenza con il GDPR quando sono coinvolti dati personali.
Le clausole vanno calibrate sul peso del fornitore: i grandi fornitori globali spesso hanno condizioni standard poco negoziabili, e in quel caso conviene documentare i controlli compensativi che adotti da parte tua.
Monitoraggio continuo dei fornitori
La valutazione iniziale non basta: il profilo di rischio di un fornitore cambia nel tempo. Per questo il monitoraggio deve essere un processo continuo, che comprende:
- Riesami periodici dei fornitori critici, con frequenza proporzionata al rischio.
- Verifica del rispetto delle clausole, ad esempio dei tempi di notifica e dei livelli di servizio.
- Controllo degli accessi: revoca tempestiva degli account non più necessari e tracciamento delle attività dei fornitori sui tuoi sistemi.
- Aggiornamento sulle vulnerabilità dei prodotti e dei servizi utilizzati, tramite avvisi dei produttori e delle autorità.
- Test di scenario: simulare l'indisponibilità o la compromissione di un fornitore chiave per verificare piani di continuità e risposta.
- Revisione dopo incidenti: ogni evento che coinvolge un fornitore deve portare a una rivalutazione del rischio.
Come ti supportiamo nell'adeguamento
DirettivaNIS2 offre informazioni e orientamento per aiutarti a capire quali obblighi si applicano alla tua organizzazione e come tradurli in attività concrete. Sul tema della supply chain, un percorso tipico prevede la verifica dell'ambito di applicazione, l'impostazione dell'inventario e della classificazione dei fornitori, la definizione di un modello di valutazione del rischio e la preparazione di clausole contrattuali coerenti con i requisiti. Contattaci per capire da dove partire nel tuo caso specifico.
Domande frequenti
La NIS 2 si applica anche ai fornitori delle entità regolate?
Non automaticamente. Un fornitore rientra direttamente nella NIS 2 solo se appartiene ai settori e ai criteri di dimensione previsti. Tuttavia, anche se non è soggetto alla Direttiva, subirà di fatto le richieste di sicurezza dei clienti che lo sono, attraverso contratti e questionari.
Devo controllare solo i fornitori diretti?
La Direttiva si concentra sui fornitori diretti, ma è opportuno sapere se questi si affidano a subfornitori critici e prevedere nel contratto obblighi di trasparenza e di flow-down dei requisiti.
Una certificazione ISO 27001 del fornitore è sufficiente?
È un'evidenza utile, ma non basta da sola. Occorre verificare che il perimetro certificato copra il servizio che ti viene erogato e valutare il rischio in relazione al tuo contesto.
Cosa succede se un incidente parte da un fornitore?
L'obbligo di notifica resta in capo all'entità NIS 2 se l'incidente è significativo per i suoi servizi. Per questo è essenziale che il contratto imponga al fornitore di avvisarti tempestivamente.
Da dove conviene iniziare?
Dall'inventario dei fornitori e dalla loro classificazione per criticità. Da lì puoi concentrare valutazioni, clausole e monitoraggio sui soggetti che hanno maggiore impatto sui tuoi servizi.