Guida · 11 min di lettura
Sicurezza della supply chain NIS2: cosa richiede davvero l'articolo 21(2)(d)
Le vostre difese possono essere impeccabili e comunque irrilevanti se il fornitore con un tunnel VPN verso la vostra rete viene compromesso in un martedì qualunque. È proprio questa la lacuna che l'articolo 21(2)(d) di NIS2 colma: vi rende responsabili del rischio informatico che i vostri fornitori portano con sé, non solo del rischio dentro le vostre mura. Il termine di recepimento del 17 ottobre 2024 è scaduto, gli Stati membri stanno completando le rispettive leggi nazionali a ritmi diversi, e le prime azioni di vigilanza sono iniziate. Questa è la versione pratica della regola: chi è coinvolto, cosa richiede l'articolo in termini concreti, e come produrre prove che un'autorità di vigilanza accetti davvero.
Punti chiave
- L'articolo 21(2)(d) rende il rischio informatico dei vostri fornitori un vostro problema, e la sua gestione una vostra responsabilità.
- Un questionario compilato una volta l'anno descrive un solo giorno. Un fornitore può essere colpito da ransomware, violato o esposto da una vulnerabilità critica il giorno dopo l'invio.
- Quando l'autorità chiede, la risposta sono documenti: chi monitorate, cosa avete trovato, cosa avete fatto e quale rischio avete consapevolmente accettato, ciascuno con la sua data.
A chi si applica?
NIS2 suddivide le organizzazioni interessate in due livelli, per settore e per dimensione. L'obbligo di gestire il rischio dei fornitori è identico per entrambi. Ciò che cambia è l'intensità della vigilanza e l'entità delle possibili sanzioni.
Soggetti essenziali
Energia, trasporti, infrastrutture bancarie e dei mercati finanziari, sanità, acqua potabile e acque reflue, infrastrutture digitali, gestione dei servizi TIC (B2B), pubblica amministrazione e spazio. Vigilanza proattiva: audit e richieste di informazioni possono avvenire senza alcun incidente.
Soggetti importanti
Servizi postali e di corriere, gestione dei rifiuti, prodotti chimici, alimenti, fabbricazione di determinati prodotti (dispositivi medici, elettronica, macchinari, veicoli), fornitori digitali e organizzazioni di ricerca. Vigilanza reattiva: le autorità intervengono quando c'è un motivo.
Di norma la soglia parte da 50 dipendenti, oppure 10 milioni di euro di fatturato annuo o totale di bilancio. Raggiungetela in un settore coperto e in genere rientrate nell'ambito di applicazione. Alcuni soggetti sono coperti a prescindere dalle dimensioni, tra cui gli operatori di DNS e dei registri dei domini di primo livello, i prestatori di servizi fiduciari e di comunicazioni pubbliche e l'unico fornitore di un servizio essenziale in un Paese.
C'è una seconda via, più silenziosa. Se vendete un servizio critico a un cliente soggetto a NIS2, i suoi obblighi finiscono di solito sulla vostra scrivania tramite il contratto: clausole di sicurezza, un questionario e un diritto permanente di richiedere prove. Molti piccoli fornitori incontrano NIS2 nella propria casella di posta molto prima che un'autorità scriva loro.
Fonte ufficiale: Direttiva NIS2 su EUR-Lex — articolo 21, con la motivazione sulla supply chain nei considerando da 85 a 90.
Cosa richiede l'articolo 21(2)(d), concretamente
L'articolo in sé è una sola frase: adottare misure adeguate per la sicurezza della supply chain, compresi gli aspetti di sicurezza del rapporto con i vostri fornitori diretti. Letta insieme agli orientamenti dell'ENISA e al modo in cui le autorità nazionali la applicano, quella frase si scompone in quattro cose che dovete essere in grado di dimostrare.
Valutate un fornitore prima di firmare
Un questionario firmato è un punto di partenza, non una risposta: registra ciò che il fornitore dice di sé, non ciò che è vero. Mettetelo a confronto con ciò che potete verificare dall'esterno. L'azienda è comparsa in dati di violazioni o ransomware? Ci sono vulnerabilità non corrette ed esposte su Internet? Le basi ci sono, come un certificato TLS valido e un'autenticazione e-mail sensata? E guardate oltre l'ovvia porta d'ingresso. L'esposizione di un fornitore riguarda l'intera impronta esterna: non solo il dominio sul contratto, ma anche il gateway VPN, i relay di posta e il dimenticato host di staging su un altro intervallo di IP.
Mettete l'obbligo di notifica nel contratto
Se l'incidente di un fornitore può fermare il vostro servizio, potreste doverlo segnalare all'autorità nel giro di ore (vedi l'articolo 23 più sotto). Potete farlo solo se il fornitore vi avvisa in fretta. Per questo l'obbligo deve essere messo per iscritto: una finestra temporale definita per notificarvi un incidente di sicurezza, un referente designato che risponda e il diritto di richiedere prove in seguito. Una promessa in buona fede non vale nulla alle due di notte di un sabato.
Continuate a monitorare per tutta la durata del rapporto
È questa la parte che la maggior parte dei programmi ancora sbaglia, perché è un'abitudine costante e non un compito una tantum. Lo standard delle misure adeguate non è una lista di controllo fissa; scala con il rischio, e il rischio non sta fermo. Il fornitore che ha superato la valutazione a marzo può finire su un sito di leak ransomware ad aprile e avere le credenziali dei dipendenti in vendita a maggio. Un'istantanea annuale non vede nulla di tutto ciò. Continuo, in pratica, significa che lo venite a sapere in pochi giorni.
Conservate le prove, con la data
Prima o poi qualcuno vi chiederà di dimostrare quanto sopra: un revisore, il team di sicurezza di un cliente, il vostro stesso consiglio dopo un incidente sfiorato. «Teniamo d'occhio la situazione» non è una prova. Ciò che conta è una traccia datata di ciò che avete verificato, trovato e corretto, e dei rischi che avete esaminato e scelto di accettare di proposito.
Perché una revisione annuale non basta
Un audit annuale dei fornitori, un questionario e magari un certificato in archivio, è un livello minimo ragionevole. Non è monitoraggio continuo, e la distanza tra i due è esattamente dove vivono gli incidenti. Tre modi ordinari in cui va storto:
Un fornitore viene colpito da ransomware a gennaio. La vostra revisione è stata fatta a marzo e sembrava pulita. Scoprite la verità a giugno, quando una consegna slitta in silenzio.
Le credenziali dei dipendenti di un fornitore compaiono in un dump infostealer. Nessuno se ne accorge finché non vengono usate per raggiungere un sistema a cui il fornitore ha accesso, e attraverso di esso il vostro.
Il certificato TLS di un fornitore scade e l'integrazione si rompe. Il vostro primo avviso è il reclamo di un cliente.
Niente di tutto questo è esotico. È la forma quotidiana del rischio della supply chain. Il compito del monitoraggio non è prevederli, ma notarli in giorni anziché ricostruirli in un'analisi a posteriori.
Scopri come si posizionano davvero i tuoi fornitori
7 giorni gratuiti · senza carta di credito · disdici quando vuoi
Classificazione: concentrate l'attenzione dove conta
Monitorare ogni fornitore con la stessa intensità non è né realistico né atteso. Ordinarli in base all'accesso e all'impatto che realmente comportano è al tempo stesso pratico e pienamente in linea con il senso delle misure adeguate.
Livello 1: critici
Una linea diretta verso i vostri sistemi, dati o produzione. Questi meritano il trattamento completo: un questionario completo e un monitoraggio tecnico continuo. Fornitori cloud e di hosting, il vostro ERP, partner IT o di sicurezza gestiti.
Livello 2: importanti
Rilevanti per le operazioni, ma senza accesso profondo ai gioielli della corona. Un monitoraggio tecnico regolare e un questionario più leggero sono di solito proporzionati. Piattaforme HR e marketing, partner logistici.
Livello 3: basso rischio
Poco o nessun accesso a elementi sensibili. Una revisione periodica è sufficiente. Forniture per ufficio, pulizie, catering.
Rischio di quarta parte: lo strato dietro lo strato
La vostra esposizione non si ferma ai fornitori che avete sotto contratto. Anche i loro fornitori possono raggiungervi. Se il vostro fornitore cloud si appoggia a un unico subfornitore per l'archiviazione e quel subfornitore viene attaccato, l'interruzione scende dritta lungo la catena fino a voi, e non avete mai avuto un contratto con l'azienda che l'ha causata.
Non potete monitorare un'azienda con cui non avete alcun rapporto, quindi la leva è la domanda che ponete al vostro fornitore diretto: sapete quali dei vostri subappaltatori sono critici, e li tenete allo stesso standard che concordate con noi? Un fornitore che non sa nominare le proprie quarte parti critiche vi ha appena detto qualcosa che vale la pena sapere.
Articolo 23: quando l'incidente di un fornitore diventa la vostra scadenza
Se l'incidente di un fornitore causa un'interruzione significativa dei servizi che fornite, l'orologio della segnalazione è il vostro, non il suo. Fa scattare un preavviso entro 24 ore al vostro CSIRT o all'autorità competente, poi una notifica di incidente più completa entro 72 ore e una relazione finale entro un mese, o una relazione intermedia allo scadere del mese se la state ancora gestendo.
Il punto critico è la tempistica. L'orologio decorre dal momento in cui ne venite a conoscenza, non dal momento in cui il fornitore finalmente ve lo comunica, e una comunicazione che arriva con una settimana di ritardo ha già bruciato la vostra scadenza. L'unica vera difesa è una visibilità indipendente sui problemi di un fornitore critico: un inserimento in una lista ransomware, un dump di credenziali, un servizio che si spegne, senza aspettare la sua e-mail.
Orientamenti dell'ENISA: Risorse ENISA per l'attuazione di NIS2 — su notifica degli incidenti e misure di sicurezza; confermate il canale esatto con il vostro CSIRT nazionale.
Cosa vuole davvero vedere un revisore
Le autorità valutano ciò che potete mostrare, non ciò che affermate. Gli elementi che di solito fanno la differenza:
- Un registro dei fornitori: chi sono, il loro livello, la loro classificazione di rischio
- Le risposte ai questionari: ciascuna con la propria data
- I registri di monitoraggio: cosa è stato verificato, quando e cosa è stato trovato
- Le decisioni sui rischi accettati: una scelta scritta e assunta per ogni rischio che avete rilevato e deciso di accettare
- Una traccia delle risposte: cosa avete fatto dei rilievi, ed entro quando
Il test implicito è se questi esistono già. Un fascicolo messo insieme la settimana dopo la chiamata dell'autorità si legge di solito esattamente come un fascicolo messo insieme la settimana dopo la chiamata dell'autorità.
Applicazione, e perché il consiglio è chiamato in causa
NIS2 mette deliberatamente il rischio informatico all'ordine del giorno della dirigenza. L'organo di gestione deve approvare le misure di gestione del rischio e vigilare sulla loro attuazione, e i suoi membri possono essere ritenuti personalmente responsabili quando tale vigilanza viene meno (art. 20). Le sanzioni non sono simboliche: fino a 10 milioni di euro o al 2 % del fatturato annuo mondiale per i soggetti essenziali, e fino a 7 milioni di euro o all'1,4 % per quelli importanti (art. 34); per i soggetti essenziali, un'autorità può persino sospendere funzioni dirigenziali finché la situazione non viene sanata. Il rischio della supply chain rientra esplicitamente tra le misure che la dirigenza deve supervisionare, ed è il vero motivo per cui una prova aggiornata e documentata del monitoraggio dei fornitori appartiene alla sala del consiglio e non solo agli appunti del team di sicurezza.
Fonte ufficiale: Direttiva NIS2 su EUR-Lex — articolo 20 (governance) e articolo 34 (sanzioni).
Dove si inserisce norppa.io
È questo il lavoro che norppa.io è costruito per sostenere. Ogni dominio fornitore che aggiungete viene verificato con oltre cento controlli esterni ogni giorno, mentre le fonti ransomware e dark web vengono ricontrollate all'incirca ogni sei ore, con un avviso nel momento in cui compare qualcosa di critico. Ogni rilievo viene associato all'articolo NIS2 pertinente al momento della registrazione, il report è scritto per la direzione tanto quanto per i tecnici, e l'intera cronologia si esporta in CSV quando un revisore lo richiede.
Il questionario di autovalutazione parte verso i fornitori dallo stesso punto, e le loro risposte stanno accanto ai rilievi tecnici. Così, quando un fornitore dichiara che tutto il traffico è cifrato e la scansione mostra un certificato scaduto, la contraddizione è davanti a voi anziché sepolta.