Molte aziende si sono convinte di essere fuori dal perimetro NIS2 perché non raggiungono le soglie dimensionali previste dal D.Lgs. 138/2024. In parte è corretto. Ma esiste un secondo livello di coinvolgimento, spesso sottovalutato, che riguarda chi lavora come fornitore di soggetti essenziali o importanti. La normativa, su questo punto, è precisa: la responsabilità si estende lungo tutta la catena di approvvigionamento.
Cosa dice la normativa sulla supply chain
L’articolo 21, paragrafo 2, lettera d) della Direttiva NIS2 include esplicitamente, tra le misure di gestione del rischio che i soggetti obbligati devono adottare, la sicurezza della catena di approvvigionamento, compresi i rapporti con i fornitori diretti e i prestatori di servizi. Il D.Lgs. 138/2024 recepisce questa previsione all’art. 24, comma 2, lettera d), rendendola operativa per i soggetti essenziali e importanti italiani.
In pratica: ogni organizzazione nel perimetro NIS2 è tenuta a valutare e monitorare la postura di sicurezza dei propri fornitori. Non basta proteggere i propri sistemi interni. Se un fornitore viene compromesso, l’attaccante può usarlo come punto di ingresso verso il soggetto essenziale. La normativa lo riconosce esplicitamente e ne fa un obbligo di gestione, non una raccomandazione.
La Determinazione ACN 127437/2026: il censimento annuale dei fornitori
Con la Determinazione n. 127437/2026, l’ACN ha reso operativo l’obbligo di comunicazione annuale dei fornitori rilevanti. I soggetti NIS devono censire i fornitori con accesso privilegiato ai propri sistemi o che erogano servizi critici, valutarli in base a criteri di rischio e aggiornare questa informazione ogni anno entro il 31 maggio. Il primo censimento è stato richiesto nell’ambito dell’aggiornamento annuale 2026.
I criteri di rilevanza di un fornitore si basano su quattro parametri principali:
- Accesso ai sistemi: il fornitore ha accesso diretto o privilegiato ai sistemi informativi del soggetto NIS.
- Trattamento di dati sensibili: il fornitore gestisce o elabora dati critici per l’erogazione del servizio.
- Impatto sulla continuità operativa: un’interruzione del servizio del fornitore blocca o degrada il servizio del soggetto NIS.
- Fungibilità: quanto è difficile sostituire rapidamente il fornitore in caso di problemi.
Le clausole contrattuali obbligatorie
La normativa non si limita a chiedere una valutazione del rischio. Richiede che i contratti con i fornitori rilevanti contengano clausole specifiche. Un contratto con un fornitore critico, ad esempio un provider cloud che gestisce l’intera piattaforma applicativa, deve prevedere come minimo:
- Obblighi di sicurezza allineati alla NIS2: il fornitore deve rispettare misure equivalenti a quelle richieste al soggetto NIS.
- Diritti di audit: il soggetto NIS può esercitare verifiche dirette o tramite terzi delegati.
- Protocolli di gestione degli incidenti: tempi di notifica compatibili con gli obblighi previsti dall’art. 26 del D.Lgs. 138/2024 (24 e 72 ore).
- SLA di continuità: obiettivi di ripristino (RTO/RPO) allineati a quelli del soggetto NIS.
- Trasparenza sulla sub-fornitura: obbligo di notifica in caso di variazioni della catena di fornitura di secondo livello.
Cosa rischia chi non si adegua
Il rischio è duplice. Per i soggetti NIS che non gestiscono correttamente la supply chain, le sanzioni possono arrivare fino al 2% del fatturato mondiale annuo. Ma c’è un secondo rischio, spesso più immediato: essere esclusi da commesse e gare. Le grandi organizzazioni nel perimetro NIS2 stanno iniziando a inserire requisiti di sicurezza nei propri capitolati di fornitura. Un fornitore che non riesce a dimostrare una postura di sicurezza adeguata rischia di perdere contratti con clienti essenziali, indipendentemente dal fatto che sia formalmente soggetto alla normativa.
Il punto di partenza: la formazione tecnica
Gestire la supply chain in ottica NIS2 richiede competenze sia legali che tecniche. Sul fronte tecnico, le certificazioni CompTIA forniscono una base verificabile e riconosciuta per dimostrare che il personale dispone delle competenze necessarie a implementare e mantenere misure di sicurezza adeguate. I percorsi e-learning di Dadonet offrono formazione pre-registrata in lingua inglese, con la flessibilità di studiarla nei propri tempi.
Per le strutture sanitarie e sociosanitarie che devono gestire anche la filiera dei fornitori in ottica NIS2, Dadonet propone un percorso integrato di cybersecurity per la sanità che include la valutazione del rischio della catena di approvvigionamento.
