Guida · 8 min di lettura
NIS2 Art. 21(2): checklist di sicurezza per i fornitori
Un copione operativo per i team di approvvigionamento e sicurezza: sia per l'inserimento di un nuovo fornitore sia per la revisione annuale. Per ciascuna delle sei clausole dell'articolo 21(2) di NIS2 rilevanti per la supply chain: cosa chiedere, perché conta, quale prova richiedere e come reagire quando la risposta resta insufficiente.
Punti chiave
- Sei sottoclausole dell'articolo 21(2) portano la maggior parte del peso della supply chain: ecco cosa chiedere per ciascuna e il documento che lo prova.
- Metà di esse sono tecniche e cambiano senza preavviso, quindi richiedono un controllo continuo anziché una riga in un questionario annuale.
- Una lacuna non è un verdetto. Una decisione di rimedio documentata e assunta è ciò che rende la vostra posizione difendibile davanti a un revisore.
L'articolo 21(2)(d) rende la valutazione della sicurezza dei fornitori parte della propria gestione del rischio, e non è un atto isolato. L'obbligo riguarda sia il fornitore che state per firmare sia quello con cui lavorate da anni. Una revisione annuale è il pavimento, non il soffitto. La difficoltà è che lo standard («misure adeguate») scala con il rischio e non resta mai fermo, così una valutazione pulita in primavera può dire ben poco in autunno.
Quanto segue percorre le sei sottoclausole dell'articolo 21(2) che portano più peso per la supply chain. Ciascuna è esposta nel modo in cui è davvero utile durante un confronto: cosa chiedere, perché conta e quale documento richiedere come prova. Usatelo come copione sia per il colloquio di inserimento sia per la revisione annuale, e leggete le clausole tecniche come cose da verificare in continuo, non una volta sola.
Una nota sull'ambito. Questa è una guida, non un parere legale: l'autorità competente o il revisore potrebbero aspettarsi di più in base al settore e alle dimensioni, e la formulazione contrattuale merita l'occhio di un legale. Le tempistiche citate (finestre di patch e simili) sono riferimenti ragionevoli, non scadenze di legge NIS2.
Le sei sottoclausole, nell'ordine in cui conviene porle:
Art. 21(2)(a)Gestione del rischio
Partite dalla differenza tra un fornitore che gestisce il rischio informatico come disciplina permanente e uno che si affanna una volta l'anno. Un sistema di gestione della sicurezza delle informazioni documentato (ISO 27001 è la scorciatoia pulita, ma una politica ISMS scritta basta) mostra che il processo esiste; la domanda più rivelatrice è quando la direzione o il consiglio l'hanno rivisto l'ultima volta, e se i sistemi e i dati critici sono stati davvero censiti e classificati. Chiedete la politica o il certificato e annotate la data di quell'ultima revisione: un programma che nessuno apre da due anni lo è solo di nome.
Art. 21(2)(b)Gestione degli incidenti
Se questo fornitore è abbastanza importante che una sua compromissione potrebbe interrompere il vostro servizio, il suo incidente avvia il vostro orologio di notifica dell'articolo 23, e lo rispettate solo se vi avvisa in fretta. La buona volontà non lo regge; il contratto deve farlo: una finestra temporale definita per notificarvi un incidente di sicurezza, un referente nominato che risponde 24 ore su 24 e, dietro, un piano di risposta testato anziché un documento che nessuno ha provato. Chiedete la sintesi del piano di risposta agli incidenti e rendete la notifica entro 24 ore una clausola contrattuale scritta, non una riga in un'e-mail.
Art. 21(2)(d)Supply chain
La vostra esposizione va oltre il fornitore che avete firmato fino a quelli da cui dipende. Il rischio di quarta parte. Un fornitore capace sa nominare i subappaltatori che toccano i vostri dati o sistemi, li tiene a condizioni di sicurezza scritte nei propri contratti anziché a un vago richiamo agli «standard di settore», e li rivaluta almeno annualmente. Chiedete se può produrre un registro dei subappaltatori e descrivere come valuta quelle parti; un fornitore che non sa nominare le proprie quarte parti critiche vi ha appena detto qualcosa che vale la pena sapere.
Art. 21(2)(e)Approvvigionamento e sviluppo
Le vulnerabilità note non corrette e il software a fine vita sono tra le vie d'ingresso più usate, quindi il fornitore dovrebbe mostrare che la gestione delle vulnerabilità è reale e non aspirazionale. Riferimenti ragionevoli: nulla oltre il fine supporto in produzione, le falle critiche (CVSS 9,0 e oltre) corrette entro circa un mese dalla divulgazione, e tutto ciò che figura nel catalogo CISA delle vulnerabilità sfruttate note trattato come un'emergenza. Chiedete una descrizione del processo di patch e una recente istantanea delle vulnerabilità: la distanza tra la politica e l'ultima scansione è di solito dove abita la verità.
Art. 21(2)(h)Crittografia
Questa è la clausola più visibile dall'esterno, e quella che scivola più silenziosamente. Certificati TLS scaduti o autofirmati, siti che non forzano HTTPS e autenticazione e-mail lasciata a metà sono tutti comuni, cambiano senza preavviso e sono tutti verificabili dall'esterno. L'asticella è poco appariscente: certificati validi ovunque, HTTPS forzato su ogni sito e API, e SPF, DKIM e DMARC realmente configurati (hardfail, firmato, almeno una policy di quarantena) anziché lasciati ai valori predefiniti. Chiedete il processo di gestione dei certificati e un estratto DMARC o DNS.
Art. 21(2)(i)/(j)Controllo degli accessi e autenticazione
Le credenziali rubate restano il modo più comune con cui un attaccante mette piede, quindi un fornitore deve mostrare sia che l'abuso è difficile sia che verrebbe colto rapidamente. In pratica significa autenticazione a più fattori imposta su ogni sistema critico e account amministratore senza eccezioni silenziose, monitoraggio delle credenziali trapelate che emergono in dati di violazioni e dark web, e l'abitudine di ruotare subito ogni accesso esposto annotando l'incidente. Chiedete di vedere la policy di applicazione dell'MFA e come è gestito il monitoraggio delle fughe di credenziali.
Quando un fornitore resta indietro
Una singola lacuna è raramente un motivo per andarsene; un'autorità di vigilanza (e il vostro stesso consiglio) cercherà la prova che l'avete notata e avete preso al riguardo una decisione deliberata e assunta. Calibrate la reazione in base a quanto manca, e dove.
Una o due lacune: documentare e accettare
Registratele nel vostro registro dei fornitori, chiedete un piano di rimedio entro circa 90 giorni e fate un follow-up alla revisione successiva. Un rischio annotato e accettato è una posizione difendibile; uno dimenticato no.
Da tre a cinque lacune, o una qualsiasi lacuna nella gestione degli incidenti: stringere la sorveglianza
Spostate il fornitore in una fascia di rischio superiore, chiedete un piano di rimedio scritto con date e valutate di limitare il suo accesso ai vostri sistemi più critici finché le lacune non si chiudono.
Sei o più lacune, o una vulnerabilità tecnica critica: escalation
Portatelo al vostro CISO o alla direzione, soppesate i rimedi contrattuali di cui disponete davvero e (se il fornitore può raggiungere dati o sistemi di produzione) valutate di sospendere quell'accesso finché il quadro non è chiaro.
Scopri come si posizionano davvero i tuoi fornitori
7 giorni gratuiti · senza carta di credito · disdici quando vuoi
Ciò che non potete fare a mano
Diversi di questi controlli sono tecnici, e decadono senza che nessuno vi mandi un avviso: un certificato scade, una credenziale emerge in una fuga, un fornitore finisce su una lista di vittime di ransomware. Un questionario compilato una volta l'anno non vede nulla di tutto ciò: ed è proprio la distanza tra una revisione cartacea e la diligenza continua che lo standard delle «misure adeguate» si attende.
norppa.io esegue la metà tecnica di questa lista ogni giorno, per ogni fornitore che aggiungete:
- Crittografia (h): validità dei certificati TLS e forzatura di HTTPS, configurazione SPF/DKIM/DMARC, DNSSEC
- Accesso e autenticazione (i): credenziali di dipendenti e clienti che emergono in dati di violazioni e dark web
- Approvvigionamento e sviluppo (e): voci nel catalogo delle vulnerabilità sfruttate e rilievi di vulnerabilità con punteggio di gravità
- Gestione degli incidenti (b): comparse su liste di vittime di ransomware, con un avviso nel momento in cui un fornitore appare
Le sottoclausole a livello di processo (gestione del rischio, gestione degli incidenti e governance della supply chain) sono esattamente ciò a cui serve il questionario di autovalutazione; potete inviarlo a un fornitore direttamente dal portale e leggere le sue risposte accanto ai rilievi tecnici.