La sicurezza della catena di fornitura non può più essere trattata come una clausola standard da inserire nei contratti ICT. Con l'aggiornamento del 24 luglio 2026, l'Agenzia per la Cybersicurezza Nazionale ha pubblicato nuovi chiarimenti sulle misure di sicurezza per la supply chain dei soggetti NIS. Il messaggio è rilevante anche per le imprese che non si sentono "tecnologiche": se un fornitore sostiene servizi, dati, impianti, piattaforme o processi critici, la sua sicurezza entra nel governo aziendale.
Le nuove FAQ non chiedono di ribaltare in modo meccanico tutti i requisiti su ogni fornitura. Chiedono qualcosa di più maturo: valutare il rischio associato alla fornitura, identificare i requisiti di sicurezza applicabili, inserirli e renderli effettivi nel rapporto con il fornitore, verificarne l'attuazione. È un passaggio importante, perché sposta la compliance NIS2 dal documento statico alla gestione continua delle evidenze.
Per amministratori, responsabili IT, procurement, legali e compliance, il punto pratico è questo: non basta sapere chi sono i fornitori. Bisogna sapere quali forniture impattano davvero sulla sicurezza informatica, quali requisiti sono proporzionati, chi li controlla e come si reagisce se un fornitore segnala un evento di sicurezza.
Perché l'aggiornamento ACN conta
Le FAQ ACN richiamano un processo articolato in quattro fasi: valutazione del rischio associato alla fornitura, identificazione dei requisiti di sicurezza, enforcement dei requisiti e verifica. È una sequenza semplice da leggere, ma impegnativa da applicare, perché attraversa funzioni che spesso lavorano separate.
Il procurement gestisce ordini, contratti e rinnovi. L'IT conosce architetture, accessi, cloud, reti e dipendenze tecniche. Il legale scrive clausole e responsabilità. La compliance valuta obblighi e tracciabilità. Se queste informazioni restano sparse, la supply chain cyber diventa un archivio incompleto.
L'aggiornamento ACN è utile proprio perché evita una lettura uniforme e burocratica. Non tutte le forniture hanno lo stesso peso. Un servizio di manutenzione su un sistema marginale non ha lo stesso rischio di una piattaforma cloud che ospita dati operativi, di un gestore di sicurezza, di un sistema OT collegato alla produzione o di un software che alimenta l'ERP. La proporzionalità non è una scorciatoia: è un metodo per concentrare risorse dove il rischio è reale.
Il rischio della fornitura non coincide con il valore del contratto
Uno degli errori più comuni è classificare i fornitori solo per spesa. È un criterio utile per il controllo di gestione, ma non basta per la cybersecurity. Un contratto economicamente piccolo può dare accesso ad ambienti sensibili, gestire credenziali privilegiate, mantenere componenti critici o intervenire su servizi che, se indisponibili, bloccano un processo essenziale.
La valutazione dovrebbe quindi incrociare almeno cinque dimensioni: dati trattati, privilegi tecnici, continuità del servizio, integrazione con sistemi aziendali e sostituibilità del fornitore. Una manutenzione remota con accesso amministrativo può richiedere controlli più stringenti di una fornitura costosa ma isolata.
Qui ERP e sistemi di procurement diventano strumenti di governo. Non servono solo a registrare ordini e fatture. Devono aiutare a collegare fornitore, contratto, servizio, asset, responsabile interno, livello di rischio, requisiti richiesti, evidenze ricevute e scadenze di verifica. Senza questa mappa, ogni audit diventa una ricostruzione manuale.
Requisiti di sicurezza: pochi, chiari, verificabili
Le FAQ ACN chiariscono che i requisiti non devono essere applicati indistintamente a tutte le forniture. Questa precisazione è importante perché molte imprese, davanti a NIS2, rischiano due reazioni opposte: chiedere troppo a tutti oppure non chiedere nulla di verificabile.
Il primo approccio produce documenti lunghi, difficili da negoziare e spesso inutili. Il secondo lascia l'azienda scoperta. La strada corretta è scegliere requisiti proporzionati al rischio: gestione degli accessi, autenticazione multifattore, segregazione degli ambienti, cifratura, logging, tempi di comunicazione degli eventi, gestione delle vulnerabilità, continuità operativa, subfornitori, localizzazione dei dati, cancellazione a fine rapporto, supporto in caso di incidente.
Ogni requisito dovrebbe essere comprensibile, collegato a un rischio concreto e verificabile con un'evidenza. Una clausola generica sulla "massima sicurezza" non aiuta. Una clausola che chiede notifica tempestiva di eventi impattanti, referenti operativi, tempi di escalation e prove periodiche di backup è molto più utile.
Enforcement: la clausola deve vivere dopo la firma
Il termine enforcement è spesso tradotto come applicazione o attuazione effettiva. Nel rapporto con i fornitori significa che il requisito non si esaurisce quando il contratto viene firmato. Deve entrare nella gestione ordinaria: onboarding, revisioni periodiche, rinnovi, change management, incident response e offboarding.
Un fornitore critico dovrebbe avere un responsabile interno, un livello di rischio aggiornato, un set di requisiti, una lista di evidenze, un calendario di verifiche e una procedura di escalation. Se cambia il servizio, il subfornitore, l'architettura o il perimetro dati, anche la valutazione va aggiornata.
Il Toolbox europeo per migliorare la sicurezza della supply chain ICT, adottato dal NIS Cooperation Group con Commissione europea ed ENISA, va nella stessa direzione: rafforzare la gestione dei rischi ICT lungo ecosistemi di fornitori sempre più interdipendenti. Per le imprese, questo significa che la relazione con il fornitore deve produrre informazioni utilizzabili, non solo dichiarazioni.
Incidenti: chi deve sapere cosa, e quando
Le FAQ ACN sulle misure di sicurezza e notifica di incidenti sono particolarmente utili anche per chiarire la dinamica cliente-fornitore. Se un incidente significativo avviene sui sistemi del cliente soggetto NIS, l'obbligo di notifica allo CSIRT Italia resta in capo al cliente, che potrà coinvolgere il fornitore nella gestione. Se invece l'incidente riguarda un fornitore soggetto NIS che eroga servizi al cliente, l'obbligo può essere in capo al fornitore e anche al cliente quando l'impatto si configura come incidente significativo per quest'ultimo.
Tradotto in pratica: i contratti devono prevedere flussi tempestivi di comunicazione. Il cliente non può scoprire un evento critico dopo giorni, quando la finestra di pre-notifica è già compromessa. E il fornitore non può limitarsi a comunicazioni commerciali generiche. Servono canali, referenti, contenuti minimi, tempi, tracciabilità e prove di escalation.
Questa è una delle aree in cui la compliance incontra l'operatività. Se l'azienda non ha definito in anticipo chi riceve la segnalazione, chi valuta l'impatto, chi attiva il piano di continuità e chi prepara la comunicazione verso le autorità, la procedura rischia di fallire proprio quando serve.
Una checklist minima per partire
Una PMI o una media impresa può avviare il lavoro senza costruire subito un sistema complesso. La priorità è creare una base ordinata.
- Elencare le forniture ICT e digitali che supportano servizi, dati o processi importanti.
- Collegare ogni fornitura a un responsabile interno, a un asset o processo e a un livello di rischio.
- Distinguere fornitori essenziali, fornitori importanti e fornitori ordinari, usando criteri tecnici e di continuità, non solo economici.
- Definire requisiti proporzionati: accessi, logging, incidenti, vulnerabilità, backup, subfornitori, continuità, uscita dal contratto.
- Inserire requisiti e obblighi informativi nei nuovi contratti e pianificare l'adeguamento dei contratti esistenti più critici.
- Conservare evidenze verificabili: policy, attestazioni, report, test, certificazioni, piani di continuità, contatti di escalation, esiti di audit.
- Aggiornare la valutazione quando cambia il servizio, il perimetro dati, il subfornitore o l'architettura tecnica.
Il NIST SP 1326, pubblicato a luglio 2026 come guida rapida per la due diligence sulla cybersecurity supply chain, rafforza lo stesso principio: le decisioni su fornitori e prodotti devono basarsi su informazioni pertinenti, valutazioni documentate e componenti come provenienza, resilienza, pratiche cyber di base e livelli della catena di fornitura.
Conclusione
Le nuove FAQ ACN sulla supply chain NIS2 non sono un dettaglio tecnico per specialisti. Sono un promemoria di governance: la sicurezza dei fornitori va valutata, tradotta in requisiti, resa effettiva e verificata.
Per le imprese, il lavoro da fare non è moltiplicare questionari o archivi. È costruire una catena logica tra rischio, contratto, requisito, evidenza e decisione. Se questa catena è chiara, NIS2 diventa anche un'occasione per migliorare procurement, IT governance e continuità operativa. Se resta frammentata, la compliance rischia di diventare un esercizio formale proprio nel punto in cui dovrebbe proteggere l'azienda.
Fonti
- ACN – Aggiornate le FAQ ACN sulle misure di sicurezza per la supply chain dei soggetti NIS
- ACN – Domande frequenti NIS: misure di sicurezza e notifica di incidenti
- NIST – SP 1326 Cybersecurity Supply Chain Risk Management: Due Diligence Assessment Quick-Start Guide
- Commissione europea – Toolbox to improve ICT supply chain security