Cosa richiede la NIS2 in tema di supply chain?

Ecco come cambia la gestione dei fornitori con la NIS2. Scopri come adeguare la cybersecurity della tua azienda.

Cosa richiede la NIS2 in tema di supply chain?

La Direttiva NIS2 (Network and Information Security 2) rappresenta un’importante evoluzione normativa che impone nuovi obblighi in materia di sicurezza informatica, con un focus specifico sulla gestione della supply chain. In questo articolo analizziamo come cambia il rapporto con i fornitori alla luce delle nuove disposizioni, evidenziando le responsabilità che le aziende devono assumere per proteggere l’intera catena di approvvigionamento, oggi sempre più esposta a rischi informatici.

– Cybersecurity e supply chain: cosa fare con la NIS2

– Rapporto con i fornitori: cosa cambia con la NIS2?

– Requisiti NIS2 e adempimenti

– Cybersecurity e supply chain: cosa fare con la NIS2

La normativa NIS2 introduce un quadro giuridico uniformato che ha l’obiettivo di sostenere la cybersecurity nei settori critici nell’intera Unione Europea. Proprio con l’obiettivo di rafforzare la resilienza informatica dell’Unione Europea, la Direttiva NIS2 2022/2555 ha sostituito la precedente direttiva 2016/1148 (NIS1). In Italia, la nuova normativa è stata recepita con il decreto legislativo 4 settembre 2024, n. 138, pubblicato nella Gazzetta Ufficiale n. 230 del 1° ottobre 2024 ed entrato in vigore il 16 ottobre 2024.

La NIS2 ha innalzato significativamente il livello comune di protezione della cybersecurity, attraverso un ambito di applicazione più ampio, norme più chiare e strumenti di cooperazione rafforzati.  La direttiva infatti ha ampliato significativamente il proprio ambito di applicazione: oltre ai settori già coperti dalla NIS2 (energia, trasporti, sanità, finanza, gestione delle risorse idriche e infrastrutture digitali), si estende ora anche ai fornitori di servizi di comunicazione elettronica accessibili al pubblico, a un più vasto insieme di servizi digitali (piattaforme sociali, trattamento delle acque reflue e dei rifiuti, produzione di beni critici), ai servizi postali e di corriere nonché alla pubblica amministrazione, sia centrale sia regionale, imponendo ai soggetti di medie e grandi dimensioni l’adozione di adeguate misure di gestione dei rischi di sicurezza informatica e la notifica degli incidenti significativi.

Parallelamente, sono stati potenziati i meccanismi di vigilanza e di enforcement, introdotte valutazioni inter pares a carattere volontario e stabilita la responsabilità diretta degli organi di vertice in caso di mancato rispetto delle misure di cybersecurity. Inoltre, è prevista la costituzione di una rete di CSIRT (Computer Security Incident Response Teams) incaricata di favorire lo scambio di informazioni sulle minacce informatiche e di coordinare le azioni di risposta in occasione di incidenti, rafforzando così la capacità collettiva di difesa e reazione.

Uno degli altri elementi fondamentali della direttiva è l’estensione delle responsabilità delle singole organizzazioni nella gestione della catena di fornitura, che coincide con il concetto di supply chain. La supply chain nella NIS2 si riferisce specificamente a una maggiore attenzione alla “catena di approvvigionamento delle aziende”, con la quale si intendono tutti i fornitori diretti con cui l’azienda ha stipulato un contratto immediato.

Questo concetto implica un cambiamento di paradigma: la sicurezza non è più confinata al perimetro interno dell’azienda. Ciascun fornitore nella catena di approvvigionamento costituisce una potenziale via d’ingresso per attacchi informatici: una vulnerabilità presso un singolo fornitore può compromettere la sicurezza dell’intera organizzazione, creando un effetto domino. Le organizzazioni sono quindi chiamate a integrare i fornitori nella propria strategia di sicurezza, implementando azioni specifiche dalla valutazione dei rischi alla definizione di controlli contrattuali.

La normativa europea obbliga gli Stati membri a definire una strategia nazionale finalizzata a potenziare la sicurezza informatica, integrando misure per la gestione delle vulnerabilità e dei rischi, programmi di formazione e sensibilizzazione, nonché l’applicazione di criteri di cybersicurezza lungo l’intera catena di approvvigionamento. In Italia, l’adozione della Direttiva NIS2 è stata organizzata secondo un approccio graduale e pragmatico, articolato in tappe distinte che consentono alle imprese e alle pubbliche amministrazioni di recepire e implementare progressivamente i nuovi obblighi normativi. Questo percorso di adeguamento, calibrato su scadenze differenziate, agevola la pianificazione delle attività di conformità e il consolidamento di pratiche di sicurezza sempre più mature, garantendo al contempo continuità operativa e capacità di risposta alle minacce emergenti.

Proprio per questo motivo, l’ACN (Agenzia per la cybersicurezza nazionale) affiancherà le organizzazioni, fornendo gradualmente gli strumenti giuridici e tecnici indispensabili per assicurare una conformità concreta e durevole. Con questo metodo si persegue un duplice scopo. Il primo è quello di evitare di sovraccaricare gli stakeholder con obblighi troppo serrati, il secondo è quello di incentivare l’adozione di misure solide e operative, anziché meramente formali.

Mappatura dettagliata

Per garantire un livello di sicurezza omogeneo e completo sull’intero perimetro operativo di un’azienda, è essenziale identificare e censire con precisione tutti i fornitori diretti che accedono ai sistemi informativi, trattano dati sensibili o forniscono componenti critici dell’infrastruttura IT. Questa attività di inventory permette di definire con chiarezza la superficie di attacco potenziale, valutare l’efficacia delle misure di sicurezza in essere presso ciascun partner e verificare la conformità agli obblighi normativi e agli standard di settore. Solo avendo una visione strutturata dei fornitori coinvolti si possono attivare processi di monitoraggio continuo, assegnare priorità agli interventi di mitigazione e reagire tempestivamente alle variazioni del profilo di rischio, contenendo così le vulnerabilità complessive e rafforzando la resilienza dell’organizzazione.

Valutazione dei rischi

La NIS2, analogamente all’AI Act, attribuisce un ruolo centrale alla gestione del rischio, riconoscendone l’efficacia come leva strategica per la cybersecurity aziendale. In particolare, l’azienda deve mappare e classificare tutti i fornitori diretti in base al livello di criticità, tenendo conto delle loro misure di sicurezza, della conformità normativa, del contesto operativo e della stabilità organizzativa. Questa classificazione consente di concentrare le risorse e gli interventi di sicurezza sui fornitori a maggiore impatto, dove il rischio residuo risulta più elevato. Per ciascun fornitore critico, infine, occorre condurre un’analisi dei rischi approfondita e documentata, periodicamente aggiornata secondo un framework strutturato che copra l’identificazione, la valutazione, il monitoraggio e la registrazione dei rischi residui.

La NIS2 richiede inoltre che gli incidenti con impatto significativo sulla supply chain siano gestiti e notificati secondo modalità e tempistiche precise al CSIRT Italia. Le organizzazioni devono definire procedure di incident response coordinate anche con i fornitori critici.

Due diligence e contratti con clausole di compliance

Per tradurre questi meccanismi di vigilanza e collaborazione in un concreto presidio del rischio lungo l’intera catena di fornitura, la due diligence si pone come il vero pilastro di una supply chain sicura, imponendo alla NIS2 procedure rigorose sin dalla selezione iniziale e per tutta la durata del rapporto contrattuale.

La NIS2 impone l’adozione di procedure rigorose, applicabili fin dalla fase di selezione dei fornitori e per tutta la durata del rapporto contrattuale. Tali procedure comprendono questionari di autovalutazione, verifica delle certificazioni (ad esempio ISO 27001:2022), controlli tecnici come penetration test e vulnerability assessment, audit periodici e analisi dei subappaltatori di secondo livello. Una documentazione accurata di tutte queste attività risulta essenziale non solo per dimostrare la conformità normativa, ma anche per conservare una visione costantemente aggiornata del profilo di rischio.

Perché la due diligence è fondamentale? La due diligence si conferma cruciale perché permette di identificare tempestivamente vulnerabilità e rischi legati ai fornitori, prevenendo potenziali interruzioni operative, violazioni di dati e sanzioni normative. Attraverso un’analisi strutturata e continuativa, l’azienda non solo dimostra la propria conformità alla NIS2, ma rafforza anche la resilienza cyber, tutela la reputazione e consolida relazioni di fiducia durevoli con partner e clienti.

Clausole contrattuali

Un ulteriore elemento imprescindibile nella gestione della supply chain è l’inserimento di clausole contrattuali che definiscano con chiarezza gli obblighi di sicurezza a carico dei fornitori: dall’adozione e mantenimento di requisiti minimi di sicurezza all’obbligo di segnalare tempestivamente qualsiasi incidente informatico, dalla predisposizione di piani di continuità operativa e disaster recovery alla gestione controllata dei subappaltatori e alle procedure di off-boarding sicuro al termine del rapporto commerciale. L’efficace implementazione di tali clausole richiede un coordinamento sinergico tra dipartimento legale e team di cybersecurity, così da garantire che ogni aspetto contrattuale rifletta pienamente le esigenze di sicurezza dell’organizzazione.

Come anticipato, la NIS2, seguendo un approccio simile al GDPR in ambito privacy, trasforma il concetto di “Supply Chain Security” a un elemento fondamentale della governance aziendale, estendendo l’intero perimetro di sicurezza oltre i confini organizzativi tradizionali.

Il cambiamento più significativo riguarda il modello di responsabilità: le aziende soggette alla NIS2 sono ora responsabili per la sicurezza dei loro fornitori, in particolare quelli che trattano dati sensibili o che hanno accesso a sistemi critici. Questo significa che eventuali violazioni o incidenti causati da vulnerabilità presenti nella supply chain possono comportare sanzioni dirette per l’organizzazione principale. Proprio per questo, il Consiglio di amministrazione è tenuto ad approvare e monitorare l’implementazione delle misure per la gestione dei rischi informatici, assicurando al contempo che l’organizzazione disponga delle risorse necessarie.

In caso di violazioni, la direttiva prevede l’applicazione di sanzioni pecuniarie fino ad almeno 10 milioni di euro o il 2% del fatturato globale annuo per le entità essenziali, e fino a 7 milioni di euro o l’1,4% per le entità importanti, a seconda del valore più elevato.

La NIS2 introduce infatti requisiti specifici e vincolanti per proteggere la catena di fornitura, espandendo il perimetro di sicurezza informatica oltre i confini aziendali tradizionali fino a includere tutti i partner esterni strategici che potrebbero rappresentare un punto di vulnerabilità.

Governance e organizzazione

• Formazione: gli organi di amministrazione e direttivi dei soggetti essenziali e importanti sono tenuti a seguire una formazione in materia di sicurezza informatica e promuovono l’offerta periodica di una formazione coerente (art. 23, c. 2, lett. a-b) D.lgs. n. 138/2024).
• Definizione di politiche specifiche per la sicurezza dei fornitori: vanno approvate politiche aziendali che includano i criteri di valutazione dei fornitori e le misure di mitigazione del rischio nel ciclo di vita dei contratti di fornitura (art. 24, c. 2, lett. a, d) D.lgs. n. 138/2024).
• Allocazione di risorse adeguate alla gestione del rischio dei fornitori: le organizzazioni devono garantire budget, strumenti e competenze adeguate all’attuazione di tutte le misure tecniche, operative e organizzative previste (art. 24, c. 1 D.lgs. n. 138/2024).

Processi e procedure

• Onboarding sicuro dei nuovi fornitori: devono essere definiti processi di selezione e qualificazione che includano checklist di sicurezza e verifiche documentali.
• Valutazione strutturata del rischio dei fornitori: occorre adottare metodologie che analizzino sistematicamente molteplici tipologie di rischio (operativo, reputazionale, di compliance, tecnico) nelle pratiche di sicurezza dei fornitori, tenendo conto dei risultati delle valutazioni coordinate a livello UE.
• Procedure di incident response coordinate con i fornitori critici: gli incidenti con impatto significativo sulla supply chain vanno notificati al CSIRT Italia e gestiti secondo le modalità e i tempi di cui agli artt. 25 e 26 (art. 25, c. 1 D.lgs. n. 138/2024).

Reporting e documentazione

• Registro aggiornato dei fornitori con accesso a dati o sistemi critici: la tenuta e l’aggiornamento di un registro dei fornitori è parte integrante delle politiche di gestione del rischio (art. 24, c. 2, lett. f) D.lgs. n. 138/2024).
• Documentazione delle valutazioni di rischio e delle misure di mitigazione: dev’essere conservata traccia scritta di tutte le analisi, i test di sicurezza e le azioni correttive adottate (art. 24, c. 2, lett. f) D.lgs. n. 138/2024).
• Registrazione e analisi degli incidenti di sicurezza legati ai fornitori: gli incidenti vanno documentati in report interni e notificati al CSIRT Italia secondo le tempistiche di legge (art. 25, cc. 56 D.lgs. n. 138/2024).
• Report periodici per l’alta direzione sulla sicurezza della supply chain: gli organi di vertice devono ricevere aggiornamenti periodici sugli incidenti e sullo stato di attuazione delle misure di sicurezza.

In ambito cybersecurity, l’adozione dello standard ISO/IEC 27001:2022 offre alle aziende un framework già strutturato che facilita notevolmente il percorso di conformità ai requisiti della NIS2 in materia di sicurezza della catena di fornitura, permettendo di ottimizzare risorse e tempi di implementazione. Affidarsi a uno standard riconosciuto a livello internazionale non solo consolida le procedure di audit, monitoraggio e controllo già descritte, ma favorisce un approccio sistematico e coerente in tutta l’organizzazione. Lo standard, recentemente aggiornato, include controlli specifici per la gestione della sicurezza della catena di fornitura che si allineano perfettamente con le richieste della direttiva europea.

L’ISO dedica un’intera sezione (A.5) alla sicurezza della supply chain, fornendo un framework strutturato che include:

• Politiche di sicurezza delle informazioni per le relazioni con i fornitori
• Requisiti di sicurezza negli accordi con i fornitori
• Gestione della sicurezza della catena di fornitura ICT
• Monitoraggio e revisione dei servizi dei fornitori
• Gestione delle modifiche ai servizi dei fornitori

Le organizzazioni che hanno già implementato o stanno considerando l’implementazione della ISO/IEC 27001:2022 possono sfruttare questo allineamento per ottimizzare gli sforzi di conformità. L’adozione dello standard internazionale offre anche vantaggi competitivi, dimostrando ai partner commerciali e ai clienti un impegno concreto verso la sicurezza della catena di fornitura.

In conclusione, oltre ad innalzare l’asticella per quanto riguarda la sicurezza della supply chain, la direttiva richiede alle organizzazioni di adottare un approccio sistematico e proattivo. Questo innalzamento degli standard di sicurezza, pur rappresentando un impegno significativo per le aziende, offre un’opportunità strategica per rafforzare la resilienza dell’intera organizzazione e per instaurare con i fornitori relazioni caratterizzate da maggiore trasparenza e da un approccio condiviso alla sicurezza. Per implementare con successo la NIS2, è fondamentale integrare la gestione della sicurezza dei fornitori all’interno della strategia globale di cybersecurity aziendale, sostenendo questo approccio con processi ben definiti, controlli verificabili e un coinvolgimento attivo.

Perché scegliere BSD Legal per la tua cybersecurity?

Competenza Verticale su Sicurezza e Protezione dei dati: abbiamo maturato una esperienza quotidiana e sul campo nelle attività di conformità che hanno al centro la protezione dei dati e la sicurezza informatica, a partire dal GDPR e la ISO/IEC 27001:2022. La NIS2 rappresenta quindi una nuova norma che però si innesta fra le attività di consulenza che abbiamo già intrapreso.

Un solido network per coprire tutte le competenze: la NIS non richiede solo competenze legali e di cyber security. È anche necessaria una solida esperienza da system integrator e grazie alla nostra rete possiamo coprire ogni necessità dell’azienda.

Partiamo da una Gap Analysis: è un primo passo verso la conformità che, grazie anche ad un costo competitivo, ti permetterà di conoscerci e di capire il nostro approccio. In più, la nostra Gap Analysis, basata sui più recenti atti di esecuzione dell’UE e codici di implementazione, ti fornirà una panoramica chiara e dettagliata del tuo stato attuale di conformità.

Per un supporto personalizzato nel vostro percorso di adeguamento alla NIS2 e nella gestione sicura della vostra catena di fornitura, contattate i nostri esperti e visitate la pagina dedicata del nostro sito.