C’è un momento, nel percorso di adeguamento alla direttiva NIS2, in cui le organizzazioni si accorgono che la parte più complessa non è mai quella che riguarda i propri sistemi, ma quelli degli altri.
L’Agenzia per la Cybersicurezza Nazionale lo sa bene ed è per questo che continua ad affinare, FAQ dopo FAQ, l’interpretazione operativa delle misure di sicurezza di base dedicate alla supply chain.
Indice degli argomenti
Un tassello in più nel mosaico della compliance NIS2
L’ultimo aggiornamento del portale ACN interviene proprio su questo fronte, con cinque risposte (dalla MSB.13 alla MSB.19) che meritano una lettura attenta da parte di chiunque stia costruendo, o già gestisca, il proprio programma di sicurezza della catena di fornitura.
Non si tratta di un dettaglio burocratico. Per i soggetti NIS, la sicurezza dei fornitori è ormai un requisito sostanziale, non un allegato contrattuale da compilare una tantum. E le nuove FAQ, pur muovendosi nel perimetro già tracciato dalla Determinazione 379907/2025 sulle misure di sicurezza di base, offrono indicazioni che cambiano concretamente il modo in cui un’azienda dovrebbe strutturare il proprio processo interno.
Le quattro fasi del processo secondo la FAQ MSB.13
Il cuore dell’aggiornamento è la FAQ MSB.13, che scompone la gestione della sicurezza della fornitura in quattro fasi sequenziali.
Un impianto che, nella sostanza, ricalca la logica di qualunque processo di Third Party Risk Management maturo, ma che ora trova un riferimento normativo esplicito a cui ancorare le procedure interne.
Valutazione del rischio associato alla fornitura
Prima di tutto viene la valutazione del rischio. Non ogni fornitore genera lo stesso livello di esposizione, e ACN lo riconosce esplicitamente: la profondità dell’analisi deve essere proporzionata al rischio specifico che quella particolare fornitura introduce nell’organizzazione.
Identificazione dei requisiti di sicurezza
Solo a valle della valutazione del rischio si definiscono i requisiti di sicurezza da richiedere al fornitore. È un passaggio logico prima ancora che normativo: senza una mappatura del rischio, qualsiasi requisito rischia di essere arbitrario, o peggio, sovradimensionato rispetto al reale impatto della fornitura.
Enforcement dei requisiti
I requisiti individuati devono poi trovare una traduzione concreta, tipicamente contrattuale: clausole di sicurezza, SLA, obblighi di notifica degli incidenti, diritti di audit. È la fase in cui il rischio teorico diventa impegno vincolante per il fornitore.
Verifica
Infine, la verifica: un requisito enunciato ma mai controllato è, nella pratica, un requisito che non esiste. ACN chiude il cerchio ribadendo che il processo non si esaurisce nella stesura del contratto, ma richiede un monitoraggio nel tempo.
I criteri minimi di valutazione del rischio secondo la FAQ MSB.14
Se la MSB.13 disegna la cornice, la FAQ MSB.14 ne definisce il contenuto minimo, richiamando quanto già previsto dalla misura GV.SC-07.
I soggetti NIS sono tenuti a considerare, come minimo, cinque elementi:
- il livello di accesso del fornitore ai sistemi informativi e di rete del soggetto NIS;
- l’accesso a proprietà intellettuale e dati, valutato anche in base alla loro criticità;
- l’impatto potenziale di un’interruzione grave della fornitura;
- i tempi e i costi necessari al ripristino in caso di indisponibilità del servizio;
- i ruoli e le responsabilità del fornitore nel governo dei sistemi informativi e di rete.
Non è un elenco chiuso, ma rappresenta il perimetro minimo sotto il quale nessuna valutazione può considerarsi adeguata.
Per un consulente che accompagna un’azienda in questo percorso, questi cinque criteri sono un punto di partenza prezioso per costruire una matrice di risk scoring dei fornitori che sia difendibile in sede di verifica.
Proporzionalità, non automatismo: le FAQ MSB.15 e MSB.16
Uno dei chiarimenti più significativi, e probabilmente più attesi dalle aziende, riguarda l’estensione dell’obbligo. Le FAQ MSB.15 e MSB.16 stabiliscono che non è richiesto definire requisiti di sicurezza per tutte le forniture del soggetto NIS, e che di conseguenza non tutti i requisiti previsti dalle misure di sicurezza di base devono essere necessariamente ribaltati sul fornitore.
È una precisazione che smonta un’interpretazione estensiva – e in certi casi controproducente – che alcune organizzazioni avevano iniziato ad applicare per eccesso di prudenza: imporre clausole di sicurezza identiche a tutti i fornitori, indipendentemente dalla loro rilevanza per la sicurezza informatica del soggetto.
ACN chiarisce che l’approccio corretto è risk-based: si applicano i requisiti pertinenti, alla fornitura pertinente, con l’intensità pertinente.
Contratti misti e RTI: la modulazione secondo la FAQ MSB.17
La FAQ MSB.17 affronta un caso ricorrente nella pratica degli appalti: i contratti misti, in cui un’unica fornitura comprende componenti con diverso impatto sulla sicurezza informatica.
In questi casi, l’applicazione dei requisiti di sicurezza deve essere modulata secondo tre criteri: proporzionalità, pertinenza e adeguatezza rispetto alle specifiche prestazioni affidate.
Lo stesso principio si estende ai raggruppamenti temporanei di imprese: quando l’aggiudicatario è costituito in forma di RTI, le misure di sicurezza devono essere soddisfatte solo dai componenti che erogano, anche parzialmente, la prestazione contrattuale con impatto sulla sicurezza informatica, tenendo conto dei ruoli e delle ripartizioni interne al raggruppamento.
Perché queste FAQ contano per chi sta completando il percorso NIS2
Le nuove indicazioni ACN si inseriscono in un quadro già di per sé articolato. Ricordiamo che la Determinazione 127437/2026 ha introdotto l’obbligo di censire i fornitori rilevanti sulla piattaforma ACN, con scadenza annuale al 31 maggio, e che le FAQ dedicate a questo adempimento (dalla FRN.1 alla FRN.10) hanno già chiarito, tra le altre cose, che la valutazione non può limitarsi al fornitore con cui esiste un rapporto contrattuale diretto, ma deve estendersi anche a chi eroga concretamente il servizio lungo la catena di subfornitura.
Le FAQ sulle misure di sicurezza di base e quelle sui fornitori rilevanti sono, in questo senso, due facce della stessa medaglia: da un lato l’identificazione di chi, nella supply chain, è davvero rilevante per la resilienza del soggetto NIS; dall’altro la definizione di cosa concretamente richiedere a quel fornitore, e come verificarlo nel tempo.
I consigli per le aziende: da adempimento a vantaggio competitivo
Per chi sta ancora impostando il proprio programma di supply chain security, o per chi lo ha già avviato ma vuole verificarne la solidità, alcune indicazioni operative possono fare la differenza.
Mappare prima di normare
Costruire un censimento completo dei fornitori, distinguendo fin da subito quelli ICT da quelli non ICT, e tra questi individuare chi ha accesso a sistemi, reti o dati critici. Senza questa mappa, ogni clausola contrattuale rischia di essere scritta al buio.
Costruire una matrice di rischio, non un elenco di clausole
I cinque criteri della MSB.14 sono un ottimo punto di partenza per uno scoring strutturato, che può poi guidare la scelta di quali requisiti applicare e con quale intensità.
Evitare l’uniformità di facciata
Applicare lo stesso set di clausole di sicurezza a tutti i fornitori, a prescindere dalla loro criticità, non è più solo inefficiente: dopo le FAQ MSB.15 e MSB.16, è anche un’interpretazione che si discosta dall’impostazione dell’Agenzia.
Integrare, non separare
La gestione della supply chain non può restare un dominio isolato rispetto alla gestione degli incidenti e alle misure di sicurezza generali del soggetto NIS. Deve confluire negli stessi processi di governance, con responsabilità chiare a livello di organo di gestione.
Prevedere audit e verifica continuativa
Un requisito contrattuale senza un meccanismo di controllo, periodico o basato su eventi, non regge alla prova dei fatti né, probabilmente, a quella di un’ispezione.
Tenere traccia delle decisioni di non applicazione
Se un requisito non viene esteso a una fornitura perché ritenuto non pertinente, è opportuno documentare la motivazione: in una logica risk-based, la tracciabilità della decisione vale quanto la decisione stessa.
Uno sguardo avanti
Il lavoro di affinamento interpretativo condotto da ACN attraverso le FAQ conferma una tendenza di fondo della NIS2: il passaggio da una compliance formale, basata su checklist, a una gestione del rischio effettivamente calibrata sul contesto di ciascun soggetto.
È un cambio di paradigma che richiede maturità organizzativa, ma che nel medio periodo premia le aziende capaci di trasformare un obbligo normativo in un vantaggio reale: una supply chain meno esposta, più tracciata e, in ultima analisi, più resiliente agli incidenti che, prima o poi, arriveranno comunque.
Partecipa alla community