Guida · 8 min
NIS2 Art. 21(2): checklist di sicurezza per i fornitori
Un copione operativo per i team di approvvigionamento e sicurezza: sia per l'inserimento di un nuovo fornitore sia per la revisione annuale. Per ciascuna delle sei clausole dell'articolo 21(2) di NIS2 rilevanti per la supply chain: cosa chiedere, perché conta, quale prova richiedere e come reagire quando la risposta resta insufficiente.
Controlla il tuo dominio ora
Scopri cosa è pubblicamente visibile sulla sicurezza della tua organizzazione, senza registrazione.
Questa anteprima immediata verifica:
- HTTPS raggiungibile
- HSTS abilitato
- Reindirizzamento HTTP → HTTPS
- SPF configurato
- DMARC applicato
- Posta (MX) configurata
Il report completo aggiunge ransomware, dark web, certificati, dati aziendali e oltre 100 altri controlli.
Punti chiave
- Sei sottoclausole dell'articolo 21(2) portano la maggior parte del peso della supply chain: ecco cosa chiedere per ciascuna e il documento che lo prova.
- Metà di esse sono tecniche e cambiano senza preavviso, quindi richiedono un controllo continuo anziché una riga in un questionario annuale.
- Una lacuna non è un verdetto. Una decisione di rimedio documentata e assunta è ciò che rende la tua posizione difendibile davanti a un revisore.
L'articolo 21(2)(d) rende la valutazione della sicurezza dei fornitori parte della tua gestione del rischio, e non è un atto isolato. L'obbligo riguarda sia il fornitore che stai per firmare sia quello con cui lavori da anni. Una revisione annuale è il pavimento, non il soffitto. La difficoltà è che lo standard («misure adeguate») scala con il rischio e non resta mai fermo, così una valutazione pulita in primavera può dire ben poco in autunno.
Quanto segue percorre le sei sottoclausole dell'articolo 21(2) che portano più peso per la supply chain. Ciascuna è esposta nel modo in cui è davvero utile durante un confronto: cosa chiedere, perché conta e quale documento richiedere come prova. Usalo come copione sia per il colloquio di inserimento sia per la revisione annuale, e leggi le clausole tecniche come cose da verificare in continuo, non una volta sola.
Una nota sull'ambito. Questa è una guida, non un parere legale: l'autorità competente o il revisore potrebbero aspettarsi di più in base al settore e alle dimensioni, e la formulazione contrattuale merita l'occhio di un legale. Le tempistiche citate (finestre di patch e simili) sono riferimenti ragionevoli, non scadenze di legge NIS2.
Le sei sottoclausole, nell'ordine in cui conviene porle:
Art. 21(2)(a)Gestione del rischio
Parti dalla differenza tra un fornitore che gestisce il rischio informatico come disciplina permanente e uno che si affanna una volta l'anno. Un sistema di gestione della sicurezza delle informazioni documentato (ISO 27001 è la scorciatoia pulita, ma una politica ISMS scritta basta) mostra che il processo esiste; la domanda più rivelatrice è quando la direzione o il consiglio l'hanno rivisto l'ultima volta, e se i sistemi e i dati critici sono stati davvero censiti e classificati. Chiedi la politica o il certificato e annota la data di quell'ultima revisione: un programma che nessuno apre da due anni lo è solo di nome.
Art. 21(2)(b)Gestione degli incidenti
Se questo fornitore è abbastanza importante che una sua compromissione potrebbe interrompere il tuo servizio, il suo incidente avvia il tuo orologio di notifica dell'articolo 23, e lo rispetti solo se ti avvisa in fretta. La buona volontà non lo regge; il contratto deve farlo: una finestra temporale definita per notificarti un incidente di sicurezza, un referente nominato che risponde 24 ore su 24 e, dietro, un piano di risposta testato anziché un documento che nessuno ha provato. Chiedi la sintesi del piano di risposta agli incidenti e rendi la notifica entro 24 ore una clausola contrattuale scritta, non una riga in un'e-mail.
Art. 21(2)(d)Supply chain
La tua esposizione va oltre il fornitore che hai firmato fino a quelli da cui dipende. Il rischio di quarta parte. Un fornitore capace sa nominare i subappaltatori che toccano i tuoi dati o sistemi, li tiene a condizioni di sicurezza scritte nei propri contratti anziché a un vago richiamo agli «standard di settore», e li rivaluta almeno annualmente. Chiedi se può produrre un registro dei subappaltatori e descrivere come valuta quelle parti; un fornitore che non sa nominare le proprie quarte parti critiche ti ha appena detto qualcosa che vale la pena sapere.
Art. 21(2)(e)Approvvigionamento e sviluppo
Le vulnerabilità note non corrette e il software a fine vita sono tra le vie d'ingresso più usa, quindi il fornitore dovrebbe mostrare che la gestione delle vulnerabilità è reale e non aspirazionale. Riferimenti ragionevoli: nulla oltre il fine supporto in produzione, le falle critiche (CVSS 9.0 e oltre) corrette entro circa un mese dalla divulgazione, e tutto ciò che figura nel catalogo CISA delle vulnerabilità sfruttate note trattato come un'emergenza. Chiedi una descrizione del processo di patch e una recente istantanea delle vulnerabilità: la distanza tra la politica e l'ultima scansione è di solito dove abita la verità.
Art. 21(2)(h)Crittografia
Questa è la clausola più visibile dall'esterno, e quella che scivola più silenziosamente. Certificati TLS scaduti o autofirmati, siti che non forzano HTTPS e autenticazione e-mail lasciata a metà sono tutti comuni, cambiano senza preavviso e sono tutti verificabili dall'esterno. L'asticella è poco appariscente: certificati validi ovunque, HTTPS forzato su ogni sito e API, e SPF, DKIM e DMARC realmente configurati (hardfail, firmato, almeno una policy di quarantena) anziché lasciati ai valori predefiniti. Chiedi il processo di gestione dei certificati e un estratto DMARC o DNS.
Art. 21(2)(i)/(j)Controllo degli accessi e autenticazione
Le credenziali rubate restano il modo più comune con cui un attaccante mette piede, quindi un fornitore deve mostrare sia che l'abuso è difficile sia che verrebbe colto rapidamente. In pratica significa autenticazione a più fattori imposta su ogni sistema critico e account amministratore senza eccezioni silenziose, monitoraggio delle credenziali trapelate che emergono in dati di violazioni e dark web, e l'abitudine di ruotare subito ogni accesso esposto annotando l'incidente. Chiedi di vedere la policy di applicazione dell'MFA e come è gestito il monitoraggio delle fughe di credenziali.
Quando un fornitore resta indietro
Una singola lacuna è raramente un motivo per andarsene; un'autorità competente (e il tuo stesso consiglio) cercherà la prova che l'hai notata e hai preso al riguardo una decisione deliberata e assunta. Calibra la reazione in base a quanto manca, e dove.
Una o due lacune: documentare e accettare
Registrale nel tuo registro dei fornitori, chiedi un piano di rimedio entro circa 90 giorni e fai un follow-up alla revisione successiva. Un rischio annotato e accettato è una posizione difendibile; uno dimenticato no.
Da tre a cinque lacune, o una qualsiasi lacuna nella gestione degli incidenti: stringere la sorveglianza
Sposta il fornitore in una fascia di rischio superiore, chiedi un piano di rimedio scritto con date e valuta di limitare il suo accesso ai tuoi sistemi più critici finché le lacune non si chiudono.
Sei o più lacune, o una vulnerabilità tecnica critica: escalation
Portalo al tuo CISO o alla direzione, soppesa i rimedi contrattuali di cui disponi davvero e (se il fornitore può raggiungere dati o sistemi di produzione) valuta di sospendere quell'accesso finché il quadro non è chiaro.
Scopri il tuo punteggio reale e quello dei tuoi fornitori
Gratis · senza carta di credito · senza limiti di tempo
Ciò che non puoi fare a mano
Diversi di questi controlli sono tecnici, e decadono senza che nessuno ti mandi un avviso: un certificato scade, una credenziale emerge in una fuga, un fornitore finisce su una lista di vittime di ransomware. Un questionario compilato una volta l'anno non vede nulla di tutto ciò: ed è proprio la distanza tra una revisione cartacea e la diligenza continua che lo standard delle «misure adeguate» si attende.
norppa.io esegue la metà tecnica di questa lista ogni giorno, per ogni fornitore che aggiungi:
- Crittografia (h): validità dei certificati TLS e forzatura di HTTPS, configurazione SPF/DKIM/DMARC, DNSSEC
- Accesso e autenticazione (i): credenziali di dipendenti e clienti che emergono in dati di violazioni e dark web
- Approvvigionamento e sviluppo (e): voci nel catalogo delle vulnerabilità sfruttate e rilievi di vulnerabilità con punteggio di gravità
- Gestione degli incidenti (b): comparse su liste di vittime di ransomware, con un avviso nel momento in cui un fornitore appare
Le sottoclausole a livello di processo (gestione del rischio, gestione degli incidenti e governance della supply chain) sono esattamente ciò a cui serve il questionario di autovalutazione; puoi inviarlo a un fornitore direttamente dal portale e leggere le sue risposte accanto ai rilievi tecnici.