Home › Valutazione fornitori ICT NIS2 questionario: guida pratica

Valutazione fornitori ICT NIS2 questionario: guida pratica

La valutazione fornitori ICT NIS2 questionario è lo strumento più pratico per dimostrare che la catena di fornitura è sotto controllo. Si tratta di un insieme di domande standard, con criteri di giudizio definiti in anticipo, che raccoglie informazioni comparabili sulla sicurezza di ogni fornitore. Il risultato permette di classificarlo per rischio e di decidere quali misure contrattuali o tecniche servono. Non sostituisce audit e contratti, ma è il primo passo documentabile.

Chi deve aderire a NIS2 e perché i fornitori entrano in gioco

La NIS 2, recepita in Italia con il D.Lgs. 138/2024, si applica ai soggetti che operano nei settori indicati dagli allegati del decreto e che rientrano nelle categorie di soggetti essenziali o importanti. In linea generale conta il settore di attività e la dimensione dell'organizzazione, con alcune eccezioni previste dalla norma. Per capire se rientrate nel perimetro, il riferimento è il testo del decreto e le indicazioni dell'Agenzia per la cybersicurezza nazionale (ACN), da consultare nella versione aggiornata.

Anche chi non rientra direttamente nel perimetro può trovarsi coinvolto. Un soggetto obbligato deve gestire il rischio legato ai propri fornitori diretti, e questo si traduce in richieste di requisiti e informazioni ai fornitori stessi. Chi vende servizi ICT a un soggetto NIS 2 riceverà quindi, prima o poi, un questionario.

La sicurezza della catena di approvvigionamento rientra tra le misure di gestione del rischio che la direttiva chiede di adottare. Per l'inquadramento generale potete leggere l'approfondimento sulla sicurezza della catena di fornitura nella NIS 2.

A cosa serve davvero il questionario sui fornitori ICT

Il questionario non è un adempimento formale da archiviare. Serve a rispondere a tre domande operative: quali fornitori incidono di più sui nostri servizi, quanto sono maturi sul piano della sicurezza e quali lacune dobbiamo coprire con contratti o controlli. Senza questo passaggio, il rischio di terze parti resta una percezione e non un dato.

Nel quadro della politica di gestione del rischio cyber NIS2, il questionario è uno degli input del processo. Le risposte alimentano il registro dei fornitori, l'analisi del rischio e le decisioni di acquisto o rinnovo. Per collocarlo nell'insieme dei documenti da redigere, vi aiuta la guida alla redazione di politiche e procedure NIS 2.

Quali sono i criteri per valutare i fornitori ICT

Prima di scrivere le domande, definite i criteri con cui giudicherete le risposte. In questo modo la valutazione fornitori ICT NIS2 questionario diventa ripetibile e difendibile in caso di audit. I criteri più utili sono questi:

• Criticità del servizio: quanto il fornitore incide su continuità operativa, dati e sistemi essenziali.
• Accesso a dati e sistemi: tipo di dati trattati, accessi privilegiati, connessioni remote verso la vostra rete.
• Maturità della sicurezza: politiche formalizzate, ruoli definiti, gestione di accessi e vulnerabilità.
• Gestione degli incidenti: capacità di rilevare, notificare tempestivamente e supportare il ripristino.
• Subfornitori: dipendenze a catena e controllo che il fornitore esercita su di esse.
• Qualità dei prodotti e sviluppo sicuro: pratiche di aggiornamento, gestione delle patch e sviluppo, se il fornitore realizza software.
• Evidenze disponibili: certificazioni, report di audit, test di sicurezza, con perimetro e validità verificati.

La direttiva chiede di tenere conto delle vulnerabilità specifiche di ciascun fornitore diretto e della qualità complessiva delle sue pratiche di sicurezza. Questi criteri traducono operativamente quella richiesta.

Come strutturare il questionario di valutazione

Partite dalla classificazione dei fornitori

Non tutti i fornitori meritano lo stesso questionario. Create prima un elenco dei fornitori ICT e assegnate un livello di criticità, ad esempio alto, medio e basso. Per i fornitori critici usate la versione completa, mentre per gli altri basta una versione ridotta, proporzionata al rischio.

Le aree di domanda da coprire

Le domande devono essere chiare, con risposte verificabili e, dove possibile, chiuse (sì/no/parziale) più un campo per l'evidenza. Un questionario efficace copre di norma queste aree:

1. Governance e ruoli: esistenza di un responsabile della sicurezza e di politiche approvate dalla direzione.
2. Gestione degli asset e dei dati: inventario, classificazione, cifratura e conservazione dei dati dei clienti.
3. Identità e accessi: autenticazione a più fattori, gestione degli account privilegiati, revoca degli accessi. Anche la NIS2 password policy del fornitore può rientrare qui.
4. Vulnerabilità e patching: processo di rilevazione e correzione, tempi di intervento, test periodici.
5. Monitoraggio e incidenti: log, rilevazione degli eventi, procedura di notifica al cliente.
6. Continuità e ripristino: backup, test di ripristino e disponibilità di un piano di continuità operativa.
7. Risorse umane e formazione: verifiche sul personale con accessi critici, formazione e consapevolezza.
8. Subfornitori e sicurezza fisica: chi altro interviene sul servizio e come sono protette le sedi o i data center.

Per le aree tecniche potete riprendere i requisiti già definiti internamente. Ad esempio, la procedura di gestione delle vulnerabilità vi dà un metro per giudicare le risposte del fornitore sul patching.

Dalle risposte alle decisioni: scoring e contratto

Un questionario compilato non basta: serve un metodo per leggerlo. Assegnate un punteggio a ogni risposta o area, stabilite in anticipo le soglie e indicate quali risposte sono bloccanti. Per esempio, l'assenza totale di una procedura di notifica degli incidenti per un fornitore critico può richiedere un'azione correttiva immediata, a prescindere dal punteggio complessivo.

Gli esiti vanno collegati ad azioni concrete:

• Rischio accettabile: si prosegue e si pianifica il riesame periodico.
• Lacune sanabili: piano di rientro concordato con scadenze e responsabili.
• Rischio elevato: misure compensative, riduzione dei dati condivisi o ricerca di alternative.

Le richieste di sicurezza vanno poi riportate nei contratti: obblighi di notifica degli incidenti, diritto di verifica, gestione dei subfornitori, requisiti sugli accessi e sulla restituzione o cancellazione dei dati. Il testo va condiviso con consulenti legali, perché le clausole dipendono dal vostro caso. Per un percorso strutturato sul tema, trovate indicazioni nella pagina dedicata alla supply chain NIS 2.

Errori frequenti da evitare

Il primo errore è inviare lo stesso questionario lunghissimo a tutti i fornitori: il tasso di risposta cala e la qualità peggiora. Il secondo è accettare risposte senza evidenze, soprattutto per i fornitori critici, dove conviene chiedere documenti, report o un colloquio di approfondimento.

Il terzo errore è considerare la valutazione un evento unico. Il rischio cambia con nuovi servizi, incidenti e variazioni dei subfornitori, quindi la procedura deve prevedere riesami periodici e aggiornamenti del registro. Infine, tenete traccia di ogni passaggio: in sede di audit di sicurezza conterà poter mostrare chi ha valutato, quando, con quali criteri e quali azioni ne sono derivate.

Un ultimo consiglio riguarda i ruoli. Stabilite chi è responsabile del processo, chi approva le eccezioni e come i risultati vengono riferiti agli organi di amministrazione, che sulla NIS 2 hanno responsabilità di approvazione e supervisione delle misure di gestione del rischio.

Conclusione

Un buon questionario, abbinato a criteri chiari, scoring, clausole contrattuali e riesami periodici, trasforma la gestione dei fornitori da adempimento a controllo effettivo del rischio. Se volete costruire questo processo in modo coerente con le altre politiche e procedure, potete partire dalla soluzione descritta in adeguamento NIS 2 per la tua organizzazione e valutare come adattarla al vostro contesto.

Domande frequenti