Supply Chain e NIS2: come cambia la gestione dei fornitori

La direttiva europea NIS2, riguardante la messa in sicurezza delle reti e dei sistemi informativi, impone alle aziende identificate dalla normativa di gestire i rischi cyber non solo al proprio interno ma anche lungo l’intera supply chain, obbligando le imprese a valutare in modo approfondito i fornitori, inserire clausole contrattuali stringenti e monitorare le vulnerabilità di filiera. La sicurezza della filiera diventa così un requisito normativo e non solo una buona pratica.

Perché la NIS2 incide sulla gestione dei fornitori

La direttiva NIS2 (recepita in Italia con il D.lgs. 138/2024) introduce obblighi espliciti sulla gestione del rischio lungo la supply chain, riconoscendo che anche un singolo fornitore vulnerabile può compromettere l’intera filiera.

La normativa riguarda specifici settori strategici come energia, trasporti, sanità, finanza, telecomunicazioni, pubblica amministrazione, ma anche copre anche attività legate a gestione di risorse idriche, rifiuti e acque reflue, infrastrutture digitali, servizi ICT e digitali B2B, fabbricazione di prodotti critici, servizi postali e corrieri, elettronica e apparecchi elettrici, spazio, comparto chimico, alimentare e ricerca. Si tratta di settori la cui interruzione avrebbe un forte impatto sociale o economico.

La direttiva interessa principalmente le organizzazioni pubbliche, le grandi e medie imprese (con oltre 50 dipendenti e 10 milioni di euro di fatturato), ma impatta anche sulle piccole e microimprese che operano nei settori ritenuti critici.

La NIS2 prevede l’implementazione di misure di sicurezza adeguate, formazione del personale e notifica degli incidenti significativi alle autorità competenti in tempi brevi. In Italia l’autorità di riferimento è l'ACN (Agenzia per la cybersicurezza nazionale).

Il messaggio che emerge dalla normativa è chiaro: non esiste sicurezza aziendale senza sicurezza nella catena di approvvigionamento. Ecco perché IT e risk management sono chiamati a ripensare radicalmente il modo in cui selezionano, valutano e monitorano i fornitori.

In questo scenario, le aziende devono:

• identificare i fornitori critici o rilevanti;
• valutarne il livello di rischio cyber;
• integrare clausole contrattuali ad hoc;
• prevedere sistemi di controlli e monitoraggio continuo.
  
  

NIS2: un nuovo approccio alla valutazione dei fornitor

Con la crescente esternalizzazione di servizi ICT, le aziende sono sempre più esposte a rischi indiretti legati alla vulnerabilità nei sistemi dei fornitori e eventuali pratiche non conformi. Per questo motivo la supply chain rappresenta oggi uno dei principali ambiti di attacco, rendendo necessario un approccio integrato tra cybersecurity e compliance normativa.

Uno dei cambiamenti più rilevanti introdotti dalla NIS2 riguarda il passaggio da controlli episodici a un modello strutturato di gestione del rischio.

Le organizzazioni sono chiamate ad adottare un approccio che copra l’intera relazione con le terze parti, partendo dall’identificazione e classificazione dei fornitori, con mappatura completa dei partner, individuazione di quelli critici o “rilevanti” e definizione delle priorità di intervento.

La valutazione del rischio può essere fatta attraverso un assessment iniziale basato su criteri oggettivi, si può prevedere l’introduzione di metriche e KPI specifici che permettano un’analisi della resilienza e della maturità cyber.

I contratti di fornitura vanno integrati con clausole di sicurezza, obblighi di compliance e audit e indicazioni sulla gestione dei subfornitori.

Il monitoraggio deve essere continuo, attraverso l’aggiornamento periodico delle informazioni, audit indipendenti e la gestione delle vulnerabilità e degli incidenti.

Questo approccio, noto come Third Party Risk Management (TPRM), diventa un elemento centrale della governance aziendale.

In questo scenario si inserisce il rating di sicurezza dei fornitori che consente di confrontare i fornitori su basi oggettive, identificare criticità nascoste, supportare decisioni di procurement più informate e ridurre il rischio di incidenti lungo la filiera.  Un passaggio fondamentale per trasformare la valutazione dei partner da attività qualitativa a processo quantitativo e continuo.

Come gestire e monitorare i rischi della supply chain

Anche alla luce della direttiva NIS2, per le aziende diventa sempre più importante superare una gestione statica dei fornitori e adottare un approccio dinamico alla gestione dei rischi della supply chain, basato su dati, valutazioni aggiornate e monitoraggio continuo.

Conoscere l’affidabilità dei fornitori e individuare tempestivamente eventuali segnali di rischio consente di rafforzare la resilienza operativa, ridurre la probabilità di interruzioni e migliorare la capacità di risposta agli eventi critici.

In un contesto produttivo sempre più interconnesso, infatti, la sicurezza della supply chain coincide sempre di più con la continuità e la sicurezza del business.

In questo scenario, soluzioni come CRIBIS MultiRisk possono supportare le aziende nel monitoraggio dei fornitori e dei principali fattori di rischio della filiera, favorendo un controllo più continuativo e strutturato della supply chain.