Negli ultimi anni la sicurezza informatica ha smesso di essere un tema confinato all’interno dell’azienda. Processi, dati e servizi attraversano oggi un ecosistema esteso di fornitori, partner e piattaforme esterne, rendendo il perimetro digitale sempre più interdipendente.
La Direttiva NIS 2 prende atto di questo scenario e introduce un cambio di prospettiva: il rischio non è più solo interno, ma distribuito lungo l’intera supply chain. In Italia, il recepimento tramite il D.lgs. 138/2024 e le determinazioni dell’Agenzia per la Cybersicurezza Nazionale introducono tempistiche stringenti per l’adozione delle misure di sicurezza e per la gestione degli incidenti. La governance della supply chain entra così nelle responsabilità degli organi di gestione.
1. Cosa succede se l’incidente riguarda un nostro fornitore?
Sempre più incidenti nascono fuori dal perimetro diretto dell’organizzazione. Casi come SolarWinds e altre violazioni presso fornitori esterni mostrano come il punto di ingresso non sia sempre l’azienda target, ma uno dei suoi partner.
In termini di impatto, la distinzione conta poco: se un fornitore critico viene compromesso, le conseguenze ricadono sull’azienda finale, con interruzioni operative, indisponibilità dei dati e danni reputazionali. La NIS 2 formalizza questo cambio di prospettiva e sposta l’attenzione dagli aspetti tecnici agli impatti sul business.
2. Dobbiamo controllare tutti i partner?
La risposta dipende dal livello di dipendenza che ciascun partner introduce nella catena del valore. Non tutti i fornitori sono uguali dal punto di vista del rischio.
La NIS 2 spinge verso un approccio basato sul rischio, piuttosto che verso un controllo indiscriminato. I partner che accedono a dati sensibili o supportano processi e servizi critici richiedono un livello di governance più strutturato. L’obiettivo è identificare e governare le dipendenze più rilevanti.
3. Chi è responsabile se il problema è “a monte”?
Quando un incidente nasce da un fornitore, è comprensibile attribuire la responsabilità all’attore a monte. La NIS 2 introduce però un principio chiave: la gestione del rischio lungo la supply chain non è delegabile.
Le aziende devono dimostrare di aver valutato i rischi, definito criteri di selezione e predisposto misure e processi per la gestione degli incidenti. Le decisioni su fornitori critici, continuità operativa e gestione del rischio diventano scelte di governance con un impatto diretto sugli organi di gestione e sugli amministratori.
4. Cosa ci chiederanno clienti e auditor?
Oltre agli obblighi normativi, molte organizzazioni stanno già vedendo un cambiamento nelle richieste da parte di clienti e partner. Sempre più spesso vengono richieste evidenze su:
- gestione del rischio della supply chain,
- piani di gestione degli incidenti,
- continuità operativa,
- dipendenze tecnologiche e controlli associati.
Non si tratta sempre di audit formali. Spesso sono valutazioni preliminari che influenzano le decisioni di sourcing. La sicurezza diventa così un fattore di fiducia e un criterio competitivo nelle relazioni commerciali.
5. Da dove si parte senza bloccare tutto?
Il rischio è reagire con iniziative frammentate e poco coordinate. Un percorso efficace parte da alcuni passaggi chiave:
- chiarire il proprio ruolo nella supply chain,
- mappare le dipendenze critiche e classificare i fornitori per impatto,
- definire ruoli e responsabilità nella governance della sicurezza,
- strutturare i processi di gestione e notifica degli incidenti,
- integrare requisiti di sicurezza nei contratti e negli SLA.
La NIS 2 non chiede di fare tutto subito, ma di adottare un modello di gestione del rischio coerente e progressivo.
Dal compliance alla resilienza operativa: come Sophos supporta il percorso NIS 2
Valutare il proprio livello di maturità rispetto alla NIS 2 richiede visibilità su rischi, processi e fornitori lungo l’intera catena del valore.
Strumenti di assessment, audit della supply chain, servizi di Managed Detection and Response (MDR) e piattaforme di monitoraggio avanzato supportano le organizzazioni nell’identificare i gap e migliorare la capacità di risposta agli incidenti. In molti casi, il valore principale di questi servizi è la visibilità che offrono sulle dipendenze critiche, spesso distribuite tra IT, procurement, legal e risk management.
Come Gold Partner Sophos, possiamo supportarti nella definizione del percorso più adatto verso la NIS 2.