Guida · 9 min

Valutazione del rischio informatico dei fornitori: cosa controlla il monitoraggio continuo

Cosa significa davvero osservare il rischio informatico di un fornitore dall'esterno? Ecco l'inventario completo: ogni categoria di controllo, perché conta ai sensi di NIS2 e come un rilievo diventa qualcosa su cui agire, o che puoi decidere di accettare in modo difendibile.

Punti chiave

Percorre ogni categoria di controllo e l'articolo NIS2 a cui ciascuna risponde.
Tutto è passivo: solo fonti pubbliche, nessun traffico verso il fornitore e nessun consenso richiesto.
NIS2 premia il rischio documentato e gestito, non un elenco di rilievi vuoto: un rischio accettato e registrato è una prova.

Intelligence passiva: nulla tocca mai il fornitore

Tutto qui si basa sull'intelligence passiva. I dati provengono interamente da fonti pubbliche (registri di trasparenza dei certificati, record DNS, siti di leak ransomware, dataset di violazioni, registri di sanzioni e feed di intelligence aperti) così non viene mai inviato traffico ai sistemi del fornitore e non serve alcun permesso. Puoi valutare un fornitore che hai firmato, uno che state ancora considerando, o uno che non ha idea che lo state osservando.

L'insieme completo dei controlli gira ogni giorno; quelli sensibili al tempo (fonti ransomware e dark web) di nuovo all'incirca ogni sei ore, con un avviso e-mail nel momento in cui emerge qualcosa di critico, come una comparsa su una lista di vittime o una fuga di credenziali recente.

Monitoraggio delle vittime di ransomware

Art. 21(2)(b)

Diverse fonti di tracciamento del ransomware vengono ricontrolla all'incirca ogni sei ore. Il giorno in cui il tuo fornitore compare su una lista di vittime (la firma pubblica di un attacco attivo o recente) lo venite a sapere, ed è di solito il giorno per chiedergli senza giri di parole se voi o i tuoi dati sei coinvolti.

Fughe di credenziali nel dark web

Art. 21(2)(i)

Gli ammassi di credenziali da infezioni infostealer e dai mercati del dark web vengono setacciati per accessi legati al dominio del fornitore. Le credenziali rubate restano la via d'ingresso più comune, e una password trapelata di un dipendente del tuo fornitore è una password che può finire puntata sui tuoi sistemi.

Sicurezza della posta

Art. 21(2)(h)

SPF, DKIM e DMARC mancanti o configurati a metà permettono di falsificare il dominio di un fornitore in e-mail che arrivano dall'aspetto legittimo. Il controllo guarda anche MTA-STS, il record di reportistica TLS-RPT e l'indicatore di marchio BIMI: le fondamenta tecniche dietro le misure di crittografia dell'articolo 21, dove si applicano.

Certificati TLS e DNSSEC

Art. 21(2)(h)

La validità dei certificati è monitorata, con un avviso due settimane prima della scadenza. La validazione DNSSEC ti dice se la catena DNS del fornitore è firmata e integra (senza di essa il suo DNS può essere falsificato) e i record CAA indicano se l'emissione dei certificati è circoscritta ad autorità approvate.

Configurazione di sicurezza web

Art. 21(2)(c)

I flag dei cookie (Secure, HttpOnly, SameSite) vengono controllati, poiché quelli mancanti aprono la porta al dirottamento di sessione e al cross-site scripting. robots.txt viene letto per percorsi sensibili che un sito pubblicizza in silenzio, e security.txt per verificare se esiste un canale onesto per segnalare una vulnerabilità.

Vulnerabilità e punteggio di sfruttamento

Art. 21(2)(e)

Tutto ciò che è legato all'infrastruttura del fornitore e figura nel catalogo CISA delle vulnerabilità sfruttate note viene segnalato all'istante. I punteggi di probabilità di sfruttamento (EPSS) ordinano poi il resto in base a quanto è probabile che ciascuna sia davvero usata, anziché alla sola gravità CVSS grezza: la differenza tra un elenco lungo e uno corto e onesto.

Sanzioni e reputazione del server di posta

Art. 21(2)(e) & Art. 21(2)(j)

L'organizzazione del fornitore viene confrontata con le liste di sanzioni di UE, ONU e OFAC. Gli indirizzi IP del suo server di posta vengono confrontati con quattro liste di blocco in tempo reale: una comparsa lì indica abuso di posta, o una compromissione precedente mai ripulita.

SAQ: questionario di autovalutazione

Art. 21(2)(a) & (b) & (d)

Il monitoraggio tecnico copre la superficie che chiunque vede dall'esterno. I requisiti a livello di processo (gestione del rischio, gestione degli incidenti, governance della supply chain) si raggiungono inviando al fornitore un questionario di autovalutazione dal portale; le sue risposte vengono archiviate e lette accanto al profilo di rischio tecnico, così che affermazione e prova stiano fianco a fianco.

Scopri il tuo punteggio reale e quello dei tuoi fornitori

Avvia la prova gratuita Vedi rapporto di esempio

7 giorni gratuiti · senza carta di credito · disdici quando vuoi

Gravità e punteggio di rischio

Ogni rilievo ricade in uno di quattro livelli di gravità: critico (agire ora), alto (circa sette giorni), medio (circa trenta) e basso (utile sapere). Il punteggio di rischio del fornitore (da 0 a 100, dove 100 è pulito) deriva dalla gravità di ciò che è aperto in quel momento.

Leggi il punteggio come un modo per dare priorità all'attenzione, non come un verdetto. Un fornitore per il resto solido può scendere per una singola falla critica, e un punteggio ordinato non giustifica mai di saltare il dettaglio che sta sotto.

Cosa succede a un rilievo

Un rilievo si apre nel momento in cui un controllo nota qualcosa di anomalo e resta aperto finché il problema non è davvero scomparso: l'esecuzione successiva conferma la correzione da sola, senza chiusura manuale. Quando un rilievo è un rischio che hai esaminato e scelto di accettare, contrassegnatelo come rischio accettato con una nota; smette così di generare nuovi avvisi a meno che lo stato non cambi.

Ogni rilievo viene collegato, al momento della registrazione, alla sottoclausola dell'articolo 21(2) di NIS2 a cui risponde, e compare sia nel portale in tempo reale sia nel report PDF che generi on demand.

Come si mappa su NIS2 e cosa porta il rapporto

Il rapporto si apre con una sintesi in linguaggio chiaro, poi punteggi NIS2 per articolo, un profilo di rischio per fornitore e un elenco di rimedi già ordinato per priorità. È scritto per essere letto in una riunione di direzione, non solo da chi eseguirà le correzioni.

Porta anche i rilievi che hai accettato come rischi documentati: la parte a cui i revisori tengono di più. NIS2 non ha mai chiesto una fedina pulita; ha chiesto di gestire il rischio e di mostrare il tuo lavoro.

Il tuo dominio: uno sguardo esterno più approfondito

I domini dei fornitori sono valutati solo con intelligence passiva: esclusivamente dati pubblici. Il tuo dominio può andare oltre con una valutazione esterna mensile (porte e servizi esposti, rischi di vulnerabilità note e configurazione TLS) perché lì hai la legittimità di guardare più a fondo. Ancora nessuna integrazione, e ancora nulla che raggiunga la tua rete interna.

Fonti ufficiali

Domande frequenti

Serve il permesso del fornitore per valutarlo?⌄

No. Tutti i controlli descritti qui sono passivi: si basano solo su fonti pubbliche e nessun traffico viene mai inviato ai sistemi del fornitore. Per questo puoi valutare un fornitore già sotto contratto, uno che stai ancora considerando, o uno che non sa nulla della verifica.

Che cosa significa davvero il punteggio di rischio?⌄

Va da 0 a 100, dove 100 è pulito, e deriva dalla gravità dei rilievi aperti in quel momento. Leggilo come un modo per dare priorità all'attenzione, non come un verdetto: un fornitore per il resto solido può scendere in basso per un singolo difetto critico, e un punteggio ordinato non giustifica mai il salto dei dettagli sottostanti.

NIS2 si aspetta un elenco di rilievi vuoto?⌄

No. Si aspetta che il rischio sia gestito e che il ragionamento sia visibile. Un rilievo che hai esaminato e consapevolmente scelto di accettare, registrato come rischio accettato con una nota, è esattamente quella prova, ed è di solito la prima cosa che un auditor chiede.

Guardate com'è il rapporto

Il rapporto di esempio mostra esattamente come vengono presentati i rilievi: per articolo NIS2, per fornitore, e come una sintesi che un team dirigente può davvero leggere.

Avvia la prova gratuita Vedi rapporto di esempio

7 giorni gratuiti · senza carta di credito · disdici quando vuoi

Guarda la dashboard di esempio

Tutte le guide

Ultima revisione: 19 giugno 2026

Questa guida fornisce informazioni generali sul diritto dell'UE, non consulenza legale. NIS2 entra in vigore tramite la legge di recepimento nazionale di ciascuno Stato membro dell'UE, che può differire nei dettagli. Verifica gli obblighi che ti riguardano con la tua autorità competente o un consulente legale.

Guide correlate

Linee guida ENISA sulla cybersicurezza degli appalti ospedalieri: come valutare i tuoi fornitori

Le linee guida ENISA sugli appalti di luglio 2026 rendono la cybersicurezza dei fornitori parte degli acquisti sanitari. Tradotte in passi concreti: specificare i requisiti, valutare i candidati dall'esterno, contrattualizzare, monitorare e documentare, collegate all'obbligo di supply chain NIS2 art. 21(2)(d).

Come conformarsi a NIS2: una roadmap passo dopo passo

I passi verso la conformità NIS2 in ordine: confermare l'ambito, registrarsi, responsabilità della dirigenza (art. 20), le misure dell'art. 21(2), sicurezza della supply chain, notifica degli incidenti (art. 23) e garanzia continua e dimostrata.

Chi rientra nell'ambito di NIS2? Soggetti essenziali e importanti, settori e soglie dimensionali

Stabilite se NIS2 vi riguarda: i due livelli, i settori degli allegati I/II, le soglie dimensionali, le eccezioni indipendenti dalla dimensione e come la supply chain vi coinvolge anche senza designazione.

NIS2 per i fornitori: non sei designato, ma i tuoi clienti sì

La maggior parte delle aziende non viene mai designata ai sensi di NIS2, ma molte devono comunque conformarsi. Come l'obbligo sulla catena di approvvigionamento di un cliente soggetto (articolo 21, paragrafo 2, lettera d) ricade su di voi, cosa chiederà e come rispondere in modo credibile.

NIS2 e il requisito della supply chain: cosa significa nella pratica

NIS2 obbliga i soggetti essenziali e importanti a valutare i rischi informatici della loro supply chain. Classificazione dei fornitori, rischio di quarta parte, notifica Art. 23 e cosa cercano i revisori.

Come avviene una violazione nel 2026: la tua superficie esterna e la tua supply chain

La catena di attacco del 2026 passo per passo — credenziali rubate, dispositivi edge sfruttati, spoofing delle email — sia sulla tua superficie esterna sia su quella dei fornitori, e dove norppa.io spezza la catena.

NIS2 Art. 21(2): checklist di sicurezza per fornitori

Checklist per i team di approvvigionamento e sicurezza: cosa chiedere, quali prove raccogliere e come rispondere quando un fornitore non soddisfa i requisiti. Include documenti di prova suggeriti.

Questionario fornitori NIS2 (SAQ): cosa chiedere, come valutarlo e un modello gratuito

Cosa chiedere ai fornitori ai sensi dell'art. 21(2)(d), come valutare le risposte e gestire le lacune, perché l'autodichiarazione va verificata, e un modello gratuito.

Notifica degli incidenti NIS2: le scadenze di 24 e 72 ore spiegate

Cosa è un incidente significativo, il calendario dell'articolo 23 (preallarme a 24 h, notifica a 72 h, relazione finale a un mese) e quando l'incidente di un fornitore diventa il tuo obbligo.

NIS2 e la responsabilità della dirigenza: cosa devono sapere consiglio e vertici

Cosa si aspetta NIS2 dall'organo di gestione: doveri di approvazione e vigilanza, responsabilità personale (art. 20), formazione, KPI di reporting al consiglio e sanzioni dell'art. 34.

ISO 27001 e NIS2: cosa copre già il tuo SGSI, e le lacune che restano

Se avete la ISO 27001: cosa si riporta su NIS2 e cosa no (notifica di legge, responsabilità della dirigenza, registrazione e assicurazione continua) e come colmare la lacuna.

Sanzioni e multe NIS2: quanto, chi è responsabile e come evitarle

Cosa sono le sanzioni NIS2: i massimali dell'articolo 34 (10 M€ / 2 % per i soggetti essenziali, 7 M€ / 1,4 % per quelli importanti), la responsabilità personale della dirigenza (art. 20, art. 32), le misure non pecuniarie e come evitarle.

NIS2 vs DORA: differenze, sovrapposizioni e quale si applica a te

In cosa differiscono e si sovrappongono i due regimi UE, perché DORA è lex specialis per i soggetti finanziari, quale si applica a te, e cosa significano entrambi per il rischio terze parti.

GDPR vs NIS2: sovrapposizioni, differenze e quando un incidente attiva entrambi

In cosa differiscono e si sovrappongono GDPR e NIS2, quando un incidente attiva entrambi (GDPR art. 33 72 h all'autorità di controllo vs NIS2 art. 23 24 h/72 h/un mese al CSIRT), la cooperazione dell'art. 35 e il divieto di doppia sanzione, e cosa significano entrambi per la due diligence sui fornitori.

Il Cyber Resilience Act dell'UE (CRA): ambito, calendario e cosa significa per la tua supply chain

Cosa richiede il CRA, le sue date scaglionate (in vigore 2024, notifica set 2026, piena conformità dic 2027), chi rientra nell'ambito e perché il SaaS puro spesso no, come integra NIS2 e cosa significa per gli acquisti e la due diligence sui fornitori.

Il regolamento UE sull'IA: livelli di rischio, calendario e cosa devono fare i deployer (articolo 26)

Cosa richiede il regolamento UE sull'IA: i livelli di rischio, le date scaglionate (in vigore 2024, vietato feb 2025, GPAI ago 2025, alto rischio ago 2026), gli obblighi del deployer dell'art. 26, come si combina con NIS2 e il GDPR, e cosa significa per l'acquisto di IA.

Stato di recepimento di NIS2: in quali Paesi UE è in vigore

Quali dei 27 Stati membri UE hanno recepito NIS2 nella legge nazionale e quali la stanno ancora completando, e perché i divari raggiungono comunque la tua catena di fornitura.

Clausole contrattuali per i fornitori NIS2: cosa pretendere dai tuoi fornitori

Le clausole che rendono azionabile l'obbligo sulla catena di fornitura di NIS2: base di sicurezza, finestra di notifica, diritti di prova e audit, trasferimento ai subappaltatori e verifica continua.

La tua postura di sicurezza esterna sotto NIS2: cosa vedono fornitori e clienti

I segnali pubblicamente visibili che i clienti valutano ai sensi dell'art. 21(2)(d) di NIS2: falsificabilità dell'e-mail (SPF/DMARC), igiene dei certificati, sistemi esposti a internet e credenziali trapelate, perché ciascuno conta e come verificarli e correggerli.

I tuoi fornitori usano l'IA? Il rischio fornitori di NIS2 incontra il regolamento IA dell'UE

I fornitori integrano sempre più l'IA nei servizi da cui dipendi, e così i loro fornitori. Dove l'IA dei fornitori e dell'ennesima parte crea rischio ai sensi dell'art. 21(2)(d) di NIS2 e del regolamento IA, cosa valutare e come mantenere la visibilità.

Impersonificazione dei fornitori e frode del CEO (BEC): spoofing dell'e-mail, DMARC e NIS2

Uno degli attacchi alla catena di fornitura più comuni non richiede alcuna violazione: un'e-mail falsificata che devia un pagamento o ruba dati. Come funzionano il BEC e l'impersonificazione dei fornitori, le impostazioni SPF, DKIM e DMARC che li fermano, e come si inserisce nell'art. 21(2)(d) di NIS2.