NIS2 e supply chain: come governare il rischio fornitori
La continuità operativa di un’azienda dipende sempre più da servizi, tecnologie e competenze che si trovano al di fuori del suo perimetro organizzativo. Provider cloud, software house, consulenti IT, manutentori, outsourcer e fornitori di servizi essenziali possono incidere direttamente sulla disponibilità dei sistemi e sulla capacità dell’organizzazione di continuare a operare.
Per questo motivo, nella NIS2 la sicurezza della supply chain entra a pieno titolo nella gestione del rischio aziendale.
Governare la catena di fornitura non significa però aumentare indiscriminatamente i controlli o sottoporre ogni fornitore allo stesso iter, perché un approccio di questo tipo rischierebbe di generare burocrazia, rallentamenti e una grande quantità di documenti difficili da utilizzare.
È necessario comprendere da quali soggetti e servizi dipende realmente l’organizzazione, valutare le possibili conseguenze di un’interruzione o di un incidente e applicare misure proporzionate alla rilevanza di ciascun rapporto.
La gestione del rischio fornitori deve quindi diventare un processo ripetibile, documentato e integrato nelle decisioni aziendali. Solo in questo modo è possibile conciliare sicurezza, conformità normativa e continuità del business.
Perché la supply chain è centrale nella NIS2
Quando un’attività viene affidata all’esterno, il controllo operativo può essere condiviso, ma la dipendenza rimane in capo all’organizzazione.
Un incidente presso un fornitore può interrompere un servizio, bloccare un processo interno o compromettere la disponibilità e l’integrità delle informazioni. Inoltre, può rendere più difficile ricostruire rapidamente quanto accaduto e attivare le misure necessarie per gestire l’emergenza.
È quindi riduttivo associare la supply chain esclusivamente ai fornitori IT che accedono da remoto all’infrastruttura aziendale. La catena di fornitura comprende tutte le dipendenze esterne che possono incidere sulla sicurezza o sulla continuità operativa.
Un provider cloud, per esempio, potrebbe non avere alcun accesso ai sistemi interni e rappresentare comunque una dipendenza critica. Se il servizio non fosse disponibile, l’organizzazione potrebbe non riuscire ad accedere alle applicazioni o alle informazioni necessarie per lavorare.
Anche un fornitore che entra fisicamente negli ambienti aziendali, pur non disponendo di credenziali informatiche, deve essere considerato nel processo di valutazione. La possibilità di avvicinarsi a postazioni, dispositivi o aree sensibili può introdurre rischi che devono essere conosciuti e gestiti.
La NIS2 porta quindi l’attenzione sul rapporto tra sicurezza interna e dipendenze esterne. Proteggere esclusivamente il proprio perimetro non è sufficiente quando servizi e processi rilevanti dipendono da soggetti terzi.
Dall’adempimento formale alla governance del rischio
Il principio secondo cui l’esternalizzazione non elimina la responsabilità dell’organizzazione non è del tutto nuovo.
Nell’ambito del GDPR, il principio di accountability richiede già alle aziende di adottare misure adeguate e di essere in grado di dimostrarle anche quando alcune attività sono affidate a soggetti esterni. La NIS2 estende questa logica alla sicurezza dei sistemi, alla resilienza dei servizi e alla continuità operativa.
Il rischio non riguarda, quindi, soltanto il trattamento dei dati personali, ma anche la capacità dell’organizzazione di prevenire, gestire e superare un incidente, per questo la gestione del fornitore non può limitarsi al momento della selezione o della firma del contratto.
Inviare un questionario una tantum, raccogliere una certificazione o inserire alcune clausole standard non garantisce che il rischio rimanga sotto controllo nel tempo. Il servizio può cambiare, il fornitore può introdurre nuove tecnologie o subfornitori e il contesto delle minacce può evolvere.
La supply chain deve quindi essere governata lungo tutto il ciclo di vita del rapporto: dalla valutazione iniziale all’onboarding, dalla gestione contrattuale al monitoraggio periodico.
Il primo passo è conoscere le dipendenze esterne
Non è possibile governare in modo efficace una catena di fornitura che non è stata prima censita.
Il punto di partenza consiste nella costruzione di un inventario dei fornitori e dei servizi esterni. Non si tratta di un semplice elenco amministrativo, per ciascun fornitore è necessario comprendere quale servizio eroga, quali processi supporta, quali informazioni tratta e quali accessi gli sono stati concessi. Inoltre, è utile valutare se esistano dipendenze da ulteriori subfornitori e quali conseguenze produrrebbe un’interruzione del servizio.
Il censimento dovrebbe includere anche i soggetti che non hanno accessi diretti all’infrastruttura. Fornitori di energia, connettività o servizi cloud possono avere un impatto rilevante sulla continuità aziendale pur restando esterni ai sistemi interni.
In alcuni casi questi fornitori sono difficilmente sostituibili oppure utilizzano condizioni contrattuali standard che l’azienda non può modificare. Questo non significa che possano essere esclusi dalla valutazione.
Il rischio deve comunque essere riconosciuto, analizzato e, dove possibile, mitigato attraverso misure organizzative interne, soluzioni di continuità o piani alternativi.
Classificare i fornitori per evitare controlli indiscriminati
Uno degli errori più frequenti consiste nel trattare tutti i fornitori allo stesso modo.
Applicare la stessa checklist a una software house che gestisce un sistema core e a un fornitore che non accede a dati o infrastrutture non rende il processo più rigoroso. Al contrario, disperde risorse e riduce l’attenzione sulle dipendenze realmente significative.
Un approccio basato sul rischio richiede invece di classificare i fornitori in funzione della loro rilevanza per l’organizzazione.
La criticità può dipendere dall’importanza del servizio, dal tipo di accessi concessi, dall’impatto di un’interruzione e dalla possibilità di sostituire rapidamente il soggetto. Anche il coinvolgimento di dati o sistemi rilevanti, così come la dipendenza da tecnologie proprietarie, può aumentare il livello di attenzione necessario.
L’organizzazione può, per esempio, distinguere tra fornitori critici, rilevanti e non critici. La terminologia può variare, ma ciò che conta è che la classificazione produca conseguenze operative.
Un fornitore critico dovrà essere sottoposto a verifiche più approfondite, a clausole contrattuali più articolate e a un monitoraggio più frequente. Un soggetto a basso impatto potrà invece essere gestito con controlli più leggeri.
La classificazione consente così di concentrare gli sforzi dove il rischio è maggiore, evitando di trasformare la governance in un’attività puramente documentale.
L’onboarding è il momento in cui definire le regole
Il momento più efficace per definire requisiti, responsabilità e modalità operative è prima dell’avvio della fornitura.
Quando il servizio è già integrato nei processi aziendali, intervenire sulle condizioni di sicurezza può diventare più complesso. Il fornitore potrebbe non essere disponibile a modificare le proprie procedure, mentre l’organizzazione potrebbe avere ormai poche alternative.
Durante l’onboarding è quindi opportuno chiarire fin dall’inizio quali misure sono richieste, quali accessi saranno concessi e come dovranno essere gestiti gli incidenti.
Devono inoltre essere definiti i punti di contatto, i flussi di comunicazione, i livelli di servizio e le responsabilità in caso di interruzione.
Quando sono coinvolti subfornitori, anche il loro ruolo dovrebbe essere reso trasparente. L’organizzazione deve sapere se una parte rilevante del servizio viene erogata da ulteriori soggetti e quali conseguenze potrebbe produrre questa dipendenza.
L’onboarding non dovrebbe essere gestito esclusivamente dalla funzione acquisti o dall’IT. A seconda del servizio, può essere necessario coinvolgere il reparto cybersecurity, privacy e legale.
La gestione del rischio diventa più efficace quando le decisioni sono integrate nei processi aziendali e non rimangono isolate in una singola funzione.
Il contratto rende la governance applicabile
Il contratto non è soltanto uno strumento di tutela legale. Nella gestione della supply chain diventa il mezzo attraverso cui requisiti e responsabilità vengono resi verificabili.
Le clausole devono essere proporzionate alla criticità del servizio. Non tutti i fornitori richiedono lo stesso livello di dettaglio, ma alcuni elementi meritano particolare attenzione.
Il contratto dovrebbe chiarire quali obblighi di sicurezza il fornitore è tenuto a rispettare e quali evidenze dovrà mettere a disposizione. È inoltre importante definire le modalità di gestione degli incidenti e i tempi entro cui il cliente deve essere informato.
La tempestività è decisiva. Un incidente presso il fornitore può avere conseguenze anche sui servizi del cliente, che deve essere messo nella condizione di valutarne rapidamente l’impatto.
Le responsabilità di notifica non possono essere considerate automatiche o identiche in ogni scenario, dipendono dal tipo di servizio, dal ruolo delle parti e dalle conseguenze prodotte dall’incidente.
Per questo motivo è necessario prevedere flussi informativi chiari. Il fornitore dovrebbe comunicare che cosa è accaduto, quali sistemi sono coinvolti, quali effetti possono verificarsi e quali azioni di contenimento sono state avviate.
Anche la continuità operativa deve trovare spazio nel rapporto contrattuale. Quando il fornitore ha un ruolo nel ripristino dei servizi, è opportuno chiarire modalità di intervento, tempi attesi e responsabilità durante la crisi.
Un altro elemento rilevante è il diritto di audit. Prevedere genericamente la possibilità di svolgere verifiche può non essere sufficiente. È utile stabilire con quale preavviso potranno essere richieste, quali evidenze saranno disponibili e se il controllo avverrà tramite documentazione, incontri da remoto o attività in presenza. Questi aspetti riducono le ambiguità nel momento in cui l’audit diventa necessario.
Monitorare il rischio durante l’intero rapporto
La valutazione iniziale fotografa una situazione che può cambiare. Un fornitore considerato affidabile al momento dell’onboarding può modificare la propria struttura, introdurre nuove tecnologie o ampliare il perimetro del servizio. Anche il livello degli accessi può crescere nel tempo senza che venga avviata una revisione formale.
Il monitoraggio serve proprio a individuare questi cambiamenti prima che producano conseguenze rilevanti. È necessario quindi, definire alcuni segnali che indicano quando è opportuno riesaminare la situazione, rivalutando:
- l’ampliamento del servizio;
- l’aumento degli accessi concessi;
- il peggioramento degli SLA;
- l’introduzione di nuovi subfornitori;
- un incidente di sicurezza;
- vulnerabilità o non conformità non risolte.
Anche i risultati degli audit devono essere seguiti nel tempo. Se il fornitore si impegna a correggere una criticità entro una determinata scadenza, la verifica non può concludersi con la semplice registrazione della non conformità. Occorre controllare che l’azione sia stata effettivamente completata e valutare le conseguenze di eventuali ritardi.
Il monitoraggio è efficace quando consente di intercettare il cambiamento del profilo di rischio prima che si trasformi in un incidente. È la stessa logica adottata da un modello di governance mantenibile: i processi e i controlli devono essere aggiornati nel tempo, anche attraverso audit periodici e interventi di miglioramento.
Gestire i rischi che non possono essere eliminati
Un’organizzazione può utilizzare un unico provider, dipendere da un software proprietario o avere un sistema produttivo legato a tecnologie non più aggiornabili. Può anche accettare tempi di ripristino più lunghi rispetto a quelli idealmente desiderati.
Queste situazioni non devono essere necessariamente nascoste o considerate automaticamente incompatibili con la gestione del rischio, ma devono essere comprese, documentate e sottoposte a una decisione consapevole.
Un caso frequente riguarda, ad esempio, le macchine di produzione collegate a sistemi operativi obsoleti. Il software non viene sostituito perché supporta un processo essenziale o perché il fornitore non mette a disposizione una versione aggiornata.
Il rischio è duplice. Da un lato, il sistema può rappresentare un punto debole per la sicurezza dell’infrastruttura. Dall’altro, la sua indisponibilità può bloccare un’attività fondamentale per il business.
In situazioni simili, l’organizzazione deve valutare quali misure compensative adottare, quali responsabilità assegnare e quale livello di rischio accettare.
Evitare una governance fatta soltanto di documenti
La gestione della supply chain perde efficacia quando si riduce alla raccolta di questionari, certificazioni e contratti.
La documentazione resta necessaria per dimostrare le valutazioni svolte, ma quando i documenti non supportano decisioni reali nasce un problema.
Un questionario molto tecnico può risultare inutile se non è collegato al servizio erogato. Un audit non produce valore se le non conformità non vengono gestite. Una certificazione non è sufficiente se il suo perimetro non comprende la fornitura utilizzata.
Anche la mancanza di responsabilità interne può indebolire il processo. Se non è chiaro chi deve valutare il fornitore, aggiornare le informazioni o gestire un incidente, le attività rischiano di rimanere sospese tra funzioni differenti. Un vero modello sostenibile stabilisce priorità, collega la valutazione alla continuità operativa e rende le decisioni comprensibili anche al management.
La documentazione deve essere collegata ai processi reali, in modo da diventare uno strumento operativo e mantenibile, utile anche in occasione di audit, verifiche o richieste di clienti e partner.
Governare la supply chain senza rallentare il business
La NIS2 porta le organizzazioni a considerare i fornitori come parte integrante del proprio sistema di gestione del rischio. Questo però non significa necessariamente aumentare il numero dei controlli, ma renderli più mirati e collegarli alla reale criticità del servizio.
Per verificare la maturità del proprio modello, può essere utile porsi alcune domande:
- Sappiamo da quali fornitori dipendono i servizi prioritari?
- Conosciamo gli accessi e le tecnologie utilizzate?
- Abbiamo valutato l’impatto di un’interruzione?
- I contratti regolano incidenti, audit e continuità operativa?
- Le valutazioni vengono aggiornate quando il servizio cambia?
- I rischi accettati sono documentati e approvati?
Rispondere in modo strutturato permette di concentrare le risorse sulle dipendenze più rilevanti, ridurre le verifiche indiscriminate e migliorare la capacità di affrontare eventuali incidenti.
La governance della supply chain diventa così un processo di supporto alle decisioni e non un ostacolo all’operatività.
FAQ
Tutti i fornitori devono essere sottoposti agli stessi controlli?
No. In generale, il livello di verifica dovrebbe essere proporzionato alla criticità del servizio, agli accessi concessi e al possibile impatto sulla continuità operativa. Un fornitore che gestisce un sistema core richiederà controlli differenti rispetto a un soggetto con un ruolo marginale.
Devono essere censiti anche i fornitori che non accedono ai sistemi?
Sì, quando rappresentano una dipendenza rilevante. Un provider cloud, un fornitore di connettività o un gestore dell’energia può compromettere l’operatività anche senza accedere direttamente all’infrastruttura aziendale.
Una certificazione è sufficiente per considerare affidabile un fornitore?
Non necessariamente. La certificazione è un’evidenza utile, ma deve essere valutata in relazione al suo perimetro, al servizio erogato e ai rischi specifici del rapporto.
Con quale frequenza è necessario rivalutare i fornitori?
La frequenza dipende dalla criticità e dai cambiamenti che interessano il servizio. Incidenti, nuovi accessi, modifiche tecnologiche o introduzione di subfornitori possono rendere necessario un riesame anticipato.
Come gestire un fornitore con un contratto non negoziabile?
Il rischio deve comunque essere riconosciuto e documentato. Se non è possibile intervenire sulle condizioni del fornitore, l’organizzazione può valutare misure interne di continuità, ridondanza o mitigazione.
La NIS2 può coinvolgere anche fornitori non direttamente soggetti alla normativa?
Sì. Le organizzazioni soggette possono richiedere ai propri fornitori requisiti di sicurezza, evidenze e capacità di risposta agli incidenti. L’effetto lungo la supply chain può quindi coinvolgere anche aziende esterne al perimetro diretto della normativa.
Come valutare lo stato della propria supply chain?
Governare il rischio fornitori richiede una visione chiara delle dipendenze, delle responsabilità e dei controlli già presenti. Una valutazione strutturata permette di comprendere il livello attuale, individuare gap e rischi e ordinare gli interventi in base alla loro priorità.
Vuoi capire da dove iniziare?
Richiedi una valutazione di governance e compliance per analizzare il livello attuale, chiarire responsabilità e priorità e definire una roadmap con passi attuabili e mantenibili nel tempo. La valutazione proposta da Dilaxia Shield comprende l’analisi di gap, rischi e responsabilità, raccomandazioni operative e una roadmap sintetica.
