L’Agenzia per la Cybersicurezza Nazionale (ACN) ha appena rilasciato un aggiornamento delle FAQ dedicate alle misure di sicurezza per la catena di approvvigionamento dei soggetti NIS2. Un intervento atteso, che porta chiarezza operativa su uno degli aspetti più delicati della direttiva europea: la gestione del rischio legato ai fornitori.
Le nuove indicazioni non sono semplici precisazioni, ma un vero e proprio framework per aiutare le aziende italiane a costruire un percorso di conformità solido e graduale, partendo dalla mappatura dei fornitori fino al monitoraggio continuo.
Le quattro fasi della gestione del rischio fornitori
Il cuore delle FAQ ACN è un modello a quattro fasi per la gestione del rischio nella supply chain. Si parte dalla identificazione: ogni soggetto NIS2 deve censire tutti i fornitori che supportano processi critici o trattano dati sensibili. Non serve una lista infinita, ma un focus sui servizi essenziali per la continuità operativa.
La seconda fase è la valutazione, che richiede di classificare i fornitori in base al rischio reale. L’ACN suggerisce criteri minimi: la tipologia di servizio, l’impatto di un eventuale incidente e la maturità cyber del fornitore. Non si tratta di un check una tantum: va ripetuta periodicamente.
La terza fase è il trattamento del rischio, ovvero la scelta e l’applicazione di misure di sicurezza proporzionate. Qui entra in gioco un principio chiave: la proporzionalità, che evita approcci rigidi e premia la personalizzazione sulla base del profilo di rischio e della dimensione dell’organizzazione.
Infine, il monitoraggio continuo: i fornitori non vanno solo valutati all’ingresso, ma seguiti nel tempo, con verifiche periodiche e clausole contrattuali che garantiscano trasparenza e reattività in caso di incidenti.
Criteri minimi di valutazione e il nodo della proporzionalità
Uno degli aspetti più innovativi delle FAQ è l’introduzione di criteri minimi di valutazione, pensati per uniformare l’analisi senza ingessare le aziende. Tra questi, spiccano la tipologia di dati trattati, la dipendenza dal fornitore per le attività critiche e la presenza di certificazioni di sicurezza riconosciute.
Il principio di proporzionalità viene declinato in modo concreto: per i contratti misti, quelli che includono servizi sia NIS2 che non NIS2, le misure di sicurezza vanno applicate solo sulla parte rilevante. Un chiarimento importante per molti fornitori italiani che operano in ambiti trasversali, evitando oneri sproporzionati e costi inutili.
Cosa cambia per i contratti misti
La gestione dei contratti misti era uno dei punti più oscuri della normativa. Le FAQ precisano che l’obbligo di sicurezza riguarda esclusivamente i servizi, i dati e le infrastrutture che rientrano nel perimetro NIS2. Le aziende devono quindi isolare chiaramente la componente critica all’interno del contratto, definendo SLA e misure tecniche ad hoc.
Questo approccio richiede un’analisi contrattuale accurata e un dialogo costante con i fornitori, che potrebbero dover adeguare le proprie procedure solo per una parte delle attività. L’ACN consiglia di formalizzare tutto tramite clausole specifiche, che diventano parte integrante degli accordi di servizio.
Cosa significa per chi legge
Le nuove FAQ ACN non sono un semplice aggiornamento: offrono un percorso operativo per mettere in sicurezza la supply chain NIS2. Ecco tre azioni concrete da mettere in campo subito:
- Mappare i fornitori critici: partite dai servizi essenziali e identificate chi impatta su di essi, anche indirettamente. Usate i criteri minimi suggeriti dall’ACN per la prima valutazione.
- Rivedere i contratti: nei contratti misti, separate chiaramente le parti soggette a NIS2 e inserite clausole di sicurezza specifiche, con obblighi di notifica e audit.
- Monitorare nel tempo: istituite un processo di controllo periodico, con verifiche almeno annuali e simulazioni di incidente che coinvolgano i fornitori chiave.