La supply chain è diventata il principale vettore di attacchi cyber a livello globale. Gli incidenti SolarWinds, MOVEit e Log4j hanno dimostrato che compromettere un singolo fornitore può colpire migliaia di organizzazioni. La NIS2 ne è consapevole e all'Art. 21 §2d del D.Lgs. 138/2024 impone obblighi espliciti sulla sicurezza della catena di approvvigionamento.
Cosa richiede la NIS2 sulla supply chain
Le organizzazioni devono:
- Identificare i fornitori critici per i propri servizi essenziali
- Valutare le pratiche di cybersecurity dei fornitori
- Includere requisiti di sicurezza nei contratti
- Monitorare continuamente i rischi derivanti dalla supply chain
- Avere piani di contingenza per la sostituzione dei fornitori critici
Come classificare i fornitori
Non tutti i fornitori hanno lo stesso livello di rischio. La classificazione tipica è:
- CRITICO: fornitori con accesso diretto a sistemi core, dati sensibili o infrastrutture critiche (es. provider cloud, MSP, software ERP)
- ALTO: fornitori con accesso indiretto o che gestiscono dati importanti (es. provider email, CRM)
- MEDIO: fornitori di software o servizi con basso accesso ai sistemi
- BASSO: fornitori di hardware, consulenza non IT, formazione
Il questionario di sicurezza per i fornitori
Per i fornitori critici e alti è necessario un questionario formale. I punti essenziali da verificare:
- Certificazioni di sicurezza (ISO 27001, SOC 2 Type II)
- MFA abilitato per accessi ai sistemi
- Vulnerability assessment periodico
- Incident Response Plan documentato
- Procedura di notifica degli incidenti al cliente entro 24h
- Cifratura dati in transito e a riposo
- Clausole NIS2 nei contratti
Le clausole contrattuali NIS2
Ogni contratto con fornitori critici deve includere: obblighi minimi di sicurezza, diritto di audit, obbligo di notifica incidenti, requisiti per la gestione dei dati, e clausole di risoluzione in caso di violazioni gravi. Molti fornitori sono già abituati a queste richieste — chi si rifiuta di firmarle è un segnale d'allarme.