Guida · 11 min
Sicurezza della supply chain NIS2: cosa richiede davvero l'articolo 21(2)(d)
Le tue difese possono essere impeccabili e comunque irrilevanti se il fornitore con un tunnel VPN verso la tua rete viene compromesso in un martedì qualunque. È proprio questa la lacuna che l'articolo 21(2)(d) di NIS2 colma: ti rende responsabile del rischio informatico che i tuoi fornitori portano con sé, non solo del rischio dentro le tue mura. Il termine di recepimento del 17 ottobre 2024 è scaduto, gli Stati membri stanno completando le rispettive leggi nazionali a ritmi diversi, e le prime azioni di vigilanza sono iniziate. Questa è la versione pratica della regola: chi è coinvolto, cosa richiede l'articolo in termini concreti, e come produrre prove che un'autorità competente accetti davvero.
Controlla il tuo dominio ora
Scopri cosa è pubblicamente visibile sulla sicurezza della tua organizzazione, senza registrazione.
Questa anteprima immediata verifica:
- HTTPS raggiungibile
- HSTS abilitato
- Reindirizzamento HTTP → HTTPS
- SPF configurato
- DMARC applicato
- Posta (MX) configurata
Il report completo aggiunge ransomware, dark web, certificati, dati aziendali e oltre 100 altri controlli.
Punti chiave
- L'articolo 21(2)(d) rende il rischio informatico dei tuoi fornitori un tuo problema, e la sua gestione una tua responsabilità.
- Un questionario compilato una volta l'anno descrive un solo giorno. Un fornitore può essere colpito da ransomware, violato o esposto da una vulnerabilità critica il giorno dopo l'invio.
- Quando l'autorità chiede, la risposta sono documenti: chi monitora, cosa hai trovato, cosa hai fatto e quale rischio hai consapevolmente accettato, ciascuno con la sua data.
Il toolbox dell'UE per la sicurezza della catena di fornitura ICT (febbraio 2026)
Il 13 febbraio 2026 il gruppo di cooperazione NIS – gli Stati membri dell'UE insieme alla Commissione europea e all'ENISA – ha adottato il toolbox dell'UE per la sicurezza della catena di fornitura ICT. È orizzontale e volontario: il suo ambito copre tutti i settori ed è rivolto agli Stati membri, non direttamente alle imprese. Due raccomandazioni contano soprattutto nella pratica: istituire un quadro per la valutazione dei fornitori critici e promuovere strategie multi-fornitore per ridurre la dipendenza da un singolo operatore. Sposta inoltre la domanda: la criticità di un fornitore si valuta in base alle conseguenze della sua compromissione, non solo alle sue vulnerabilità. L'applicazione sarà riesaminata dopo un anno.
Leggi il comunicato della Commissione →A chi si applica?
NIS2 suddivide le organizzazioni interessate in due livelli, per settore e per dimensione. L'obbligo di gestire il rischio dei fornitori è identico per entrambi. Ciò che cambia è l'intensità della vigilanza e l'entità delle possibili sanzioni.
Soggetti essenziali
Energia, trasporti, infrastrutture bancarie e dei mercati finanziari, sanità, acqua potabile e acque reflue, infrastrutture digitali, gestione dei servizi TIC (B2B), pubblica amministrazione e spazio. Vigilanza proattiva: audit e richieste di informazioni possono avvenire senza alcun incidente.
Soggetti importanti
Servizi postali e di corriere, gestione dei rifiuti, prodotti chimici, alimenti, fabbricazione di determinati prodotti (dispositivi medici, elettronica, macchinari, veicoli), fornitori digitali e organizzazioni di ricerca. Vigilanza reattiva: le autorità intervengono quando c'è un motivo.
Di norma la soglia parte da 50 dipendenti, oppure 10 milioni di euro di fatturato annuo o totale di bilancio. Raggiungila in un settore coperto e in genere rientri nell'ambito di applicazione. Alcuni soggetti sono coperti a prescindere dalle dimensioni, tra cui gli operatori di DNS e dei registri dei domini di primo livello, i prestatori di servizi fiduciari e di comunicazioni pubbliche e l'unico fornitore di un servizio essenziale in un Paese.
C'è una seconda via, più silenziosa. Se vendete un servizio critico a un cliente soggetto a NIS2, i suoi obblighi finiscono di solito sulla tua scrivania tramite il contratto: clausole di sicurezza, un questionario e un diritto permanente di richiedere prove. Molti piccoli fornitori incontrano NIS2 nella propria casella di posta molto prima che un'autorità scriva loro.
Fonte ufficiale: Direttiva NIS2 su EUR-Lex — articolo 21, con la motivazione sulla supply chain nei considerando da 85 a 90.
Cosa richiede l'articolo 21(2)(d), concretamente
L'articolo in sé è una sola frase: adottare misure adeguate per la sicurezza della supply chain, compresi gli aspetti di sicurezza del rapporto con i tuoi fornitori diretti. Letta insieme agli orientamenti dell'ENISA e al modo in cui le autorità nazionali la applicano, quella frase si scompone in quattro cose che devi essere in grado di dimostrare.
Valuta un fornitore prima di firmare
Un questionario firmato è un punto di partenza, non una risposta: registra ciò che il fornitore dice di sé, non ciò che è vero. Mettilo a confronto con ciò che puoi verificare dall'esterno. L'azienda è comparsa in dati di violazioni o ransomware? Ci sono vulnerabilità non corrette ed esposte su Internet? Le basi ci sono, come un certificato TLS valido e un'autenticazione e-mail sensata? E guarda oltre l'ovvia porta d'ingresso. L'esposizione di un fornitore riguarda l'intera impronta esterna: non solo il dominio sul contratto, ma anche il gateway VPN, i relay di posta e il dimenticato host di staging su un altro intervallo di IP.
Metti l'obbligo di notifica nel contratto
Se l'incidente di un fornitore può fermare il tuo servizio, potresti doverlo segnalare all'autorità nel giro di ore (vedi l'articolo 23 più sotto). Puoi farlo solo se il fornitore ti avvisa in fretta. Per questo l'obbligo deve essere messo per iscritto: una finestra temporale definita per notificarti un incidente di sicurezza, un referente designato che risponda e il diritto di richiedere prove in seguito. Una promessa in buona fede non vale nulla alle due di notte di un sabato.
Continua a monitorare per tutta la durata del rapporto
È questa la parte che la maggior parte dei programmi ancora sbaglia, perché è un'abitudine costante e non un compito una tantum. Lo standard delle misure adeguate non è una lista di controllo fissa; scala con il rischio, e il rischio non sta fermo. Il fornitore che ha superato la valutazione a marzo può finire su un sito di leak ransomware ad aprile e avere le credenziali dei dipendenti in vendita a maggio. Un'istantanea annuale non vede nulla di tutto ciò. Continuo, in pratica, significa che lo vieni a sapere in pochi giorni.
Conserva le prove, con la data
Prima o poi qualcuno ti chiederà di dimostrare quanto sopra: un revisore, il team di sicurezza di un cliente, il tuo stesso consiglio dopo un incidente sfiorato. «Teniamo d'occhio la situazione» non è una prova. Ciò che conta è una traccia datata di ciò che hai verificato, trovato e corretto, e dei rischi che hai esaminato e scelto di accettare di proposito.
Perché una revisione annuale non basta
Un audit annuale dei fornitori, un questionario e magari un certificato in archivio, è un livello minimo ragionevole. Non è monitoraggio continuo, e la distanza tra i due è esattamente dove vivono gli incidenti. Tre modi ordinari in cui va storto:
Un fornitore viene colpito da ransomware a gennaio. La tua revisione è stata fatta a marzo e sembrava pulita. Scopri la verità a giugno, quando una consegna slitta in silenzio.
Le credenziali dei dipendenti di un fornitore compaiono in un dump infostealer. Nessuno se ne accorge finché non vengono usa per raggiungere un sistema a cui il fornitore ha accesso, e attraverso di esso il tuo.
Il certificato TLS di un fornitore scade e l'integrazione si rompe. Il tuo primo avviso è il reclamo di un cliente.
Niente di tutto questo è esotico. È la forma quotidiana del rischio della supply chain. Il compito del monitoraggio non è prevederli, ma notarli in giorni anziché ricostruirli in un'analisi a posteriori.
Scopri il tuo punteggio reale e quello dei tuoi fornitori
Gratis · senza carta di credito · senza limiti di tempo
Classificazione: concentrate l'attenzione dove conta
Monitorare ogni fornitore con la stessa intensità non è né realistico né atteso. Ordinarli in base all'accesso e all'impatto che realmente comportano è al tempo stesso pratico e pienamente in linea con il senso delle misure adeguate.
Livello 1: critici
Una linea diretta verso i tuoi sistemi, dati o produzione. Questi meritano il trattamento completo: un questionario completo e un monitoraggio tecnico continuo. Fornitori cloud e di hosting, il tuo ERP, partner IT o di sicurezza gestiti.
Livello 2: importanti
Rilevanti per le operazioni, ma senza accesso profondo ai gioielli della corona. Un monitoraggio tecnico regolare e un questionario più leggero sono di solito proporzionati. Piattaforme HR e marketing, partner logistici.
Livello 3: basso rischio
Poco o nessun accesso a elementi sensibili. Una revisione periodica è sufficiente. Forniture per ufficio, pulizie, catering.
Rischio di quarta parte: lo strato dietro lo strato
La tua esposizione non si ferma ai fornitori che hai sotto contratto. Anche i loro fornitori possono raggiungervi. Se il tuo fornitore cloud si appoggia a un unico subfornitore per l'archiviazione e quel subfornitore viene attaccato, l'interruzione scende dritta lungo la catena fino a voi, e non hai mai avuto un contratto con l'azienda che l'ha causata.
Non puoi monitorare un'azienda con cui non hai alcun rapporto, quindi la leva è la domanda che poni al tuo fornitore diretto: sai quali dei tuoi subappaltatori sono critici, e li tieni allo stesso standard che concordi con noi? Un fornitore che non sa nominare le proprie quarte parti critiche ti ha appena detto qualcosa che vale la pena sapere.
Articolo 23: quando l'incidente di un fornitore diventa la tua scadenza
Se l'incidente di un fornitore causa un'interruzione significativa dei servizi che fornisci, l'orologio della segnalazione è il tuo, non il suo. Fa scattare un preavviso entro 24 ore al tuo CSIRT o all'autorità competente, poi una notifica di incidente più completa entro 72 ore e una relazione finale entro un mese, o una relazione intermedia allo scadere del mese se la state ancora gestendo.
Il punto critico è la tempistica. L'orologio decorre dal momento in cui ne vieni a conoscenza, non dal momento in cui il fornitore finalmente te lo comunica, e una comunicazione che arriva con una settimana di ritardo ha già bruciato la tua scadenza. L'unica vera difesa è una visibilità indipendente sui problemi di un fornitore critico: un inserimento in una lista ransomware, un dump di credenziali, un servizio che si spegne, senza aspettare la sua e-mail.
Orientamenti dell'ENISA: Risorse ENISA per l'attuazione di NIS2 — su notifica degli incidenti e misure di sicurezza; confermate il canale esatto con il tuo CSIRT nazionale.
Cosa vuole davvero vedere un revisore
Le autorità valutano ciò che puoi mostrare, non ciò che affermate. Gli elementi che di solito fanno la differenza:
- Un registro dei fornitori: chi sono, il loro livello, la loro classificazione di rischio
- Le risposte ai questionari: ciascuna con la propria data
- I registri di monitoraggio: cosa è stato verificato, quando e cosa è stato trovato
- Le decisioni sui rischi accettati: una scelta scritta e assunta per ogni rischio che hai rilevato e deciso di accettare
- Una traccia delle risposte: cosa hai fatto dei rilievi, ed entro quando
Il test implicito è se questi esistono già. Un fascicolo messo insieme la settimana dopo la chiamata dell'autorità si legge esattamente per quello che è.
Applicazione, e perché il consiglio è chiamato in causa
NIS2 mette deliberatamente il rischio informatico all'ordine del giorno della dirigenza. L'organo di gestione deve approvare le misure di gestione del rischio e vigilare sulla loro attuazione, e i suoi membri possono essere ritenuti personalmente responsabili quando tale vigilanza viene meno (art. 20). Le sanzioni non sono simboliche: fino a 10 milioni di euro o al 2 % del fatturato annuo mondiale per i soggetti essenziali, e fino a 7 milioni di euro o all'1,4 % per quelli importanti (art. 34); per i soggetti essenziali, un'autorità può persino sospendere funzioni dirigenziali finché la situazione non viene sanata. Il rischio della supply chain rientra esplicitamente tra le misure che la dirigenza deve supervisionare, ed è il vero motivo per cui una prova aggiornata e documentata del monitoraggio dei fornitori appartiene alla sala del consiglio e non solo agli appunti del team di sicurezza.
Fonte ufficiale: Direttiva NIS2 su EUR-Lex — articolo 20 (governance) e articolo 34 (sanzioni).
Dove si inserisce norppa.io
È questo il lavoro che norppa.io è costruito per sostenere. Ogni dominio fornitore che aggiungi viene verificato con oltre cento controlli esterni ogni giorno, mentre le fonti ransomware vengono ricontrollate all'incirca ogni sei ore, con un avviso nel momento in cui compare qualcosa di critico. Ogni rilievo viene associato all'articolo NIS2 pertinente al momento della registrazione, il report è scritto per la direzione tanto quanto per i tecnici, e l'intera cronologia si esporta in CSV quando un revisore lo richiede.
Il questionario di autovalutazione parte verso i fornitori dallo stesso punto, e le loro risposte stanno accanto ai rilievi tecnici. Così, quando un fornitore dichiara che tutto il traffico è cifrato e la scansione mostra un certificato scaduto, la contraddizione è davanti a voi anziché sepolta.