.png)
Il 16 ottobre 2024 l'Italia ha recepito ufficialmente la Direttiva NIS2 tramite il d.lgs. n. 138/2024, implementando quanto definito a livello europeo in materia di sicurezza informatica. Con l’obiettivo di contrastare al meglio le crescenti minacce digitali, la norma impone una serie di obblighi stringenti per i cosiddetti "soggetti essenziali e importanti", con scadenze precise da rispettare. Tra gli aspetti fondamentali, emerge un tema di grande attualità: la gestione della sicurezza della supply chain. In un mondo in cui le organizzazioni costruiscono catene di approvvigionamento sempre più complesse diventa essenziale mantenere un presidio sui fornitori, anche sotto il profilo della cybersicurezza.
I riferimenti normativi
L’articolo 24(2)(d) del d.lgs 138/2024 impone alle organizzazioni di adottare misure tecniche, operative e organizzative per assicurare la sicurezza della catena di approvvigionamento. L’obbligo non si estende, tuttavia, a tutti i fornitori. Come chiarito dalle linee guida redatte da ACN a settembre 2025, l’ambito di applicazione è limitato ai fornitori che, se sprovvisti di misure di cybersicurezza adeguate, potrebbero compromettere la sicurezza dei sistemi informativi e di rete dell’organizzazione e mettere a rischio la sua capacità di resistere, con un determinato livello di affidabilità, agli eventi che potrebbero avere un impatto sulla disponibilità, l'autenticità, l'integrità o la riservatezza dei dati o dei servizi offerti.
Per ciò che concerne la natura delle misure da adottare, invece, già ad aprile 2025 ACN aveva provveduto a fornire indicazioni più operative. La disposizione identificabile con il codice GV.SC-07 contenuta nella Determinazione n. 164179 aveva infatti già chiarito come i rischi associati ai fornitori debbano essere valutati, documentati e monitorati nel tempo, considerando i seguenti elementi: il livello di accesso del fornitore ai sistemi informativi e di rete, l'accesso del fornitore alla proprietà intellettuale e ai dati anche sulla base della loro criticità, l'impatto di una grave interruzione della fornitura, i tempi e i costi di ripristino in caso di indisponibilità dei servizi e, infine, i ruoli e le responsabilità del fornitore nel governo dei sistemi informativi e di rete.
Il termine ultimo per garantire la conformità a questi requisiti è fissato per ottobre 2026, tuttavia, considerata la mole di misure da implementare, è bene intervenire per tempo.
Cosa fare per garantire la sicurezza della supply chain
Per assicurare l’adeguatezza di un fornitore dal punto di vista della cybersicurezza è necessario intervenire su più fronti. Innanzitutto, è fondamentale mappare i propri fornitori e definire il loro livello di criticità per l’organizzazione. Successivamente, occorre verificare che i contratti di fornitura includano clausole specifiche relative alla cybersicurezza. Nel caso di acquisizione di un nuovo fornitore, inoltre, è indispensabile effettuare una valutazione preliminare che consideri anche gli aspetti legati alla sicurezza informatica.
Parallelamente, è necessario monitorare costantemente e documentare la conformità dei fornitori nel tempo.
È bene sottolineare, però, come il livello di dettaglio di queste verifiche e valutazioni sia inevitabilmente influenzato dalla criticità che ciascun fornitore riveste per l’organizzazione. La Direttiva NIS2, infatti, adotta un approccio risk-based, secondo il quale le misure da adottare devono essere proporzionate e adeguate ai rischi specifici relativi alla sicurezza dei sistemi informativi e di rete. Di conseguenza, la valutazione dei fornitori non potrà essere effettuata in modo generico o astratto, ma dovrà tener conto del ruolo che ciascuno di essi svolge nell’ambito dell’organizzazione.
Come adempiere in maniera semplice ed efficace
Per supportare l’adempimento agli obblighi normativi e per contestualizzare le analisi in base alla criticità del fornitore, è utile avvalersi di software o app dedicate, in grado di ottimizzare queste attività e garantire un monitoraggio costante nel tempo.
Noi di Applicando abbiamo realizzato una web app che consente di monitorare i fornitori IT in maniera conforme ed efficace. La piattaforma, infatti, permette di effettuare una valutazione incrociata dei fornitori basata su due elementi:
1. La criticità del fornitore definita internamente dall’organizzazione;
2. Le misure di sicurezza adottate dal fornitore, rilevate attraverso un questionario costruito in linea con i requisiti della norma.
La web app, quindi, non si limita a definire il livello di rischio associato a ciascun fornitore e a contestualizzarlo in base alla sua rilevanza per l’organizzazione, ma offre anche la possibilità di rivalutarlo periodicamente, mantenendo uno storico delle valutazioni effettuate.
Per maggiori informazioni potete contattarci scrivendo all’indirizzo e-mail segreteria@applicando.to.it