Risposta rapida

La Direttiva NIS2 e il suo recepimento italiano con il D.Lgs. 138/2024 impongono ai soggetti essenziali e importanti di adottare misure adeguate per la sicurezza della catena di approvvigionamento. In pratica, non basta più chiedere al fornitore una generica "certificazione ISO 27001": serve un processo strutturato di valutazione, selezione e monitoraggio dei fornitori che tenga conto della loro esposizione al rischio, delle misure di sicurezza adottate e della loro capacità di rispondere a incidenti. L'ACN (Agenzia per la Cybersicurezza Nazionale) è l'Autorità competente e richiede che le misure di sicurezza siano adottate entro ottobre 2026, con la registrazione annuale già operativa dal 2025. Questo articolo spiega cosa chiedere concretamente ai fornitori, con un approccio operativo e proporzionato.

Perché questo tema è importante

La supply chain è oggi uno dei vettori d'attacco più sfruttati: un fornitore con accesso ai sistemi del cliente può diventare il punto d'ingresso per un attacco ransomware o per l'esfiltrazione di dati. La normativa NIS2 riconosce esplicitamente questo rischio e lo inserisce tra gli obblighi di gestione del rischio per la sicurezza informatica.

Per le imprese italiane, il tema è doppiamente rilevante. Da un lato, chi rientra nel perimetro NIS2 deve dimostrare di gestire il rischio legato ai propri fornitori, pena sanzioni e provvedimenti dell'ACN. Dall'altro, anche chi non è direttamente soggetto alla normativa può essere chiamato dai propri clienti a rispondere a questionari di valutazione e a dimostrare standard di sicurezza adeguati. La supply chain diventa quindi un criterio di selezione competitivo: le aziende che sanno dimostrare una gestione matura del rischio fornitore sono preferite a quelle che non lo fanno.

Quadro normativo e fonti ufficiali

Il riferimento normativo principale è la Direttiva (UE) 2022/2555, recepita in Italia con il D.Lgs. 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. Il decreto amplia il campo di applicazione rispetto alla precedente direttiva NIS del 2016 e introduce obblighi specifici in materia di:

• Registrazione dei soggetti NIS, da effettuare ogni anno dal 1° gennaio al 28 febbraio.
• Aggiornamento annuale delle informazioni entro il 31 maggio di ogni anno.
• Misure di sicurezza adeguate, da adottare entro ottobre 2026.
• Notifica degli incidenti significativi, obbligatoria a partire da gennaio 2026.

L'ACN, come Autorità competente NIS, specifica che gli obblighi riguardano le tre dimensioni classiche della sicurezza informatica — riservatezza, integrità e disponibilità — secondo un approccio multi-rischio. Tra gli ambiti coperti rientrano esplicitamente la gestione del rischio, la responsabilità aziendale, gli obblighi di comunicazione, la continuità del business e la sicurezza della catena di approvvigionamento.

Il decreto NIS pone enfasi sulla gradualità e proporzionalità degli obblighi: le misure richieste devono essere adeguate alla dimensione e alla criticità del soggetto. Questo principio vale anche per la gestione dei fornitori: non si tratta di imporre a tutti gli stessi standard, ma di applicare un approccio basato sul rischio.

Cosa significa per l'azienda

Se la tua azienda rientra nel perimetro NIS2 come soggetto essenziale o importante, la sicurezza della supply chain non è più una scelta volontaria ma un obbligo normativo. Devi essere in grado di dimostrare all'ACN che:

• Hai identificato i fornitori critici e li hai classificati in base al rischio.
• Hai definito criteri di selezione che includono la sicurezza informatica.
• Hai contrattualizzato obblighi di sicurezza chiari e verificabili.
• Monitori periodicamente i fornitori e gestisci le non conformità.

Anche se la tua azienda non è direttamente soggetta a NIS2, i tuoi clienti potrebbero esserlo. In quel caso, sarai chiamato a rispondere a questionari di valutazione e a dimostrare standard di sicurezza adeguati. La gestione della supply chain diventa quindi un fattore abilitante per mantenere e acquisire clienti.

Cosa deve fare concretamente l'organizzazione

Ecco i passi operativi per strutturare la gestione della supply chain in ottica NIS2:

1. Mappare i fornitori e classificarli per criticità Identifica tutti i fornitori che hanno accesso ai tuoi sistemi, ai tuoi dati o che forniscono servizi ICT. Classificali in base a:

• Livello di accesso ai sistemi informativi.
• Tipologia di dati trattati (personali, sensibili, strategici).
• Dipendenza dell'azienda dal servizio fornito.
• Impatto potenziale di un incidente sul fornitore.

2. Definire criteri di selezione basati sulla sicurezza Integra la sicurezza informatica nei processi di qualifica e selezione dei fornitori. I criteri minimi dovrebbero includere:

• Presenza di una politica di sicurezza documentata.
• Adozione di misure tecniche e organizzative adeguate.
• Capacità di notificare tempestivamente gli incidenti.
• Rispetto della normativa sulla protezione dei dati (GDPR).

3. Contrattualizzare gli obblighi di sicurezza Inserisci nei contratti clausole specifiche che prevedano:

• Obblighi di sicurezza informatica minimi.
• Diritto di audit e verifica da parte del cliente.
• Obbligo di notifica degli incidenti entro termini definiti.
• Clausole di responsabilità in caso di violazione.

4. Monitorare e verificare periodicamente Non basta firmare un contratto: devi verificare che il fornitore rispetti gli impegni. Strumenti utili:

• Questionari di autovalutazione annuali.
• Audit periodici sui fornitori critici.
• Revisione dei report di incidenti e delle relative azioni correttive.

5. Documentare tutto L'ACN può richiedere evidenze delle misure adottate. Conserva:

• Registro dei fornitori e classificazione del rischio.
• Contratti e clausole di sicurezza.
• Report di audit e questionari compilati.
• Piano di gestione del rischio fornitore.

Esempio pratico

Un'azienda manifatturiera italiana, soggetta NIS2 come soggetto importante, ha 40 fornitori attivi, di cui 8 con accesso ai sistemi ERP e 3 che gestiscono servizi cloud. L'azienda ha seguito questo percorso:

1. Mappatura: ha censito tutti i fornitori e li ha classificati in tre livelli di criticità (alta, media, bassa) in base all'accesso ai sistemi e ai dati trattati.
2. Questionario: ha inviato ai fornitori critici un questionario di autovalutazione sulla sicurezza, con domande su policy, misure tecniche, gestione incidenti e conformità GDPR.
3. Contrattualizzazione: ha aggiornato i contratti dei fornitori critici con clausole di sicurezza, diritto di audit e obbligo di notifica incidenti entro 24 ore.
4. Monitoraggio: ha pianificato audit annuali sui 3 fornitori cloud e verifiche biennali sugli altri 5 critici.
5. Documentazione: ha creato un registro fornitori con evidenze delle valutazioni e delle azioni intraprese.

Il risultato: l'azienda ha ridotto il rischio di incidenti legati alla supply chain e ha potuto dimostrare all'ACN, in caso di verifica, un approccio strutturato e proporzionato.

Errori comuni da evitare

• Considerare la sicurezza dei fornitori come un problema solo dei fornitori: la responsabilità finale è dell'azienda che utilizza il servizio.
• Limitarsi a chiedere certificazioni: una certificazione ISO 27001 è utile ma non sufficiente; va verificato che le misure siano effettivamente applicate.
• Trattare tutti i fornitori allo stesso modo: l'approccio deve essere proporzionato al rischio, non uniforme.
• Dimenticare i fornitori non ICT: anche fornitori di servizi di pulizia o manutenzione possono avere accesso fisico ai locali e rappresentare un rischio.
• Non aggiornare la valutazione: la supply chain cambia nel tempo; la valutazione va rivista periodicamente, non fatta una volta per tutte.
• Sottovalutare la documentazione: senza evidenze documentali, è difficile dimostrare all'ACN di aver adottato misure adeguate.

Come GAPOFF aiuta

GAPOFF supporta le aziende nella gestione della conformità NIS2 con un modulo dedicato alla NIS2 Compliance, che guida l'organizzazione attraverso i passi necessari: dalla registrazione all'adozione delle misure di sicurezza, inclusa la gestione della supply chain.

Il modulo consente di:

• Strutturare il registro dei fornitori e la classificazione del rischio.
• Gestire i questionari di autovalutazione e le relative evidenze.
• Monitorare le scadenze normative (registrazione, aggiornamento annuale, adozione misure).
• Documentare le attività svolte per dimostrare la conformità all'ACN.

La piattaforma è provabile gratuitamente per 14 giorni: uno strumento che supporta il lavoro di compliance, ma non certifica automaticamente la conformità. La responsabilità finale delle decisioni e delle evidenze resta dell'organizzazione e dei suoi professionisti.

Checklist operativa

• Ho censito tutti i fornitori con accesso a sistemi, dati o locali aziendali.
• Ho classificato i fornitori per livello di criticità e rischio.
• Ho definito criteri di selezione che includono la sicurezza informatica.
• Ho aggiornato i contratti con clausole di sicurezza e diritto di audit.
• Ho inviato questionari di autovalutazione ai fornitori critici.
• Ho pianificato audit periodici sui fornitori ad alta criticità.
• Ho istituito un obbligo di notifica incidenti da parte dei fornitori.
• Ho documentato tutte le valutazioni e le azioni intraprese.
• Ho previsto un aggiornamento annuale della valutazione dei fornitori.
• Ho verificato che le scadenze normative (registrazione, aggiornamento, misure) siano presidiate.

FAQ

Un fornitore che non rientra in NIS2 deve comunque adeguarsi?

Non è obbligato dalla normativa, ma se fornisce servizi a un'azienda soggetta a NIS2, questa deve valutare il rischio che il fornitore introduce. In pratica, l'azienda soggetta può richiedere al fornitore di adottare misure di sicurezza adeguate come condizione contrattuale. Il fornitore non ha obblighi diretti verso l'ACN, ma ha obblighi contrattuali verso il cliente, che a sua volta deve dimostrare di aver gestito il rischio.

Quali sono le scadenze principali da rispettare per la supply chain?

Le scadenze principali sono quelle generali della normativa NIS2: la registrazione annuale dal 1° gennaio al 28 febbraio, l'aggiornamento delle informazioni entro il 31 maggio, l'adozione delle misure di sicurezza entro ottobre 2026 e la notifica degli incidenti da gennaio 2026. Per la supply chain non esiste una scadenza separata: la gestione del rischio fornitore rientra nelle misure di sicurezza da adottare entro ottobre 2026.

Come si dimostra all'ACN di aver gestito il rischio fornitore?

L'ACN valuta le misure adottate in base al principio di proporzionalità. Per dimostrare la gestione del rischio fornitore, serve documentazione che attesti: la mappatura dei fornitori, la classificazione del rischio, i criteri di selezione, le clausole contrattuali, le verifiche effettuate e le azioni correttive intraprese. La documentazione deve essere aggiornata e disponibile in caso di verifica.

FAQ

Un fornitore che non rientra in NIS2 deve comunque adeguarsi?

Non è obbligato dalla normativa, ma se fornisce servizi a un'azienda soggetta a NIS2, questa deve valutare il rischio che il fornitore introduce. In pratica, l'azienda soggetta può richiedere al fornitore di adottare misure di sicurezza adeguate come condizione contrattuale. Il fornitore non ha obblighi diretti verso l'ACN, ma ha obblighi contrattuali verso il cliente, che a sua volta deve dimostrare di aver gestito il rischio.

Quali sono le scadenze principali da rispettare per la supply chain?

Le scadenze principali sono quelle generali della normativa NIS2: la registrazione annuale dal 1° gennaio al 28 febbraio, l'aggiornamento delle informazioni entro il 31 maggio, l'adozione delle misure di sicurezza entro ottobre 2026 e la notifica degli incidenti da gennaio 2026. Per la supply chain non esiste una scadenza separata: la gestione del rischio fornitore rientra nelle misure di sicurezza da adottare entro ottobre 2026.

Come si dimostra all'ACN di aver gestito il rischio fornitore?

L'ACN valuta le misure adottate in base al principio di proporzionalità. Per dimostrare la gestione del rischio fornitore, serve documentazione che attesti: la mappatura dei fornitori, la classificazione del rischio, i criteri di selezione, le clausole contrattuali, le verifiche effettuate e le azioni correttive intraprese. La documentazione deve essere aggiornata e disponibile in caso di verifica.