NIS2 e sicurezza della supply chain: come valutare fornitori IT, integratori e subappaltatori

La sicurezza della supply chain non inizia inviando lo stesso questionario a tutti i fornitori. Occorre prima stabilire da quali soggetti dipendono i processi aziendali, quali accessi ricevono e quali conseguenze potrebbero derivare dalla loro indisponibilità, da un incidente o da una risposta tardiva. Solo su questa base è possibile definire l’ampiezza della valutazione, le evidenze richieste, le condizioni contrattuali e le modalità di monitoraggio. In caso contrario, l’organizzazione verifica la completezza formale dei documenti, non il rischio effettivo associato a servizi IT, integratori e subappaltatori.

Il fornitore come componente della resilienza aziendale

Il rischio associato a un fornitore non dipende soltanto dalle vulnerabilità dei suoi sistemi o dal livello delle misure tecniche adottate. Si manifesta soprattutto quando un servizio esterno, il personale, un software o un’infrastruttura condizionano la continuità di un processo aziendale. L’intensità del controllo non dovrebbe quindi essere determinata dal valore del contratto, dalle dimensioni del fornitore o dalla sola tipologia del servizio acquistato, bensì dalle conseguenze della sua indisponibilità, di una violazione della riservatezza, della perdita di integrità dei dati o di una risposta tardiva a un incidente.

Il processo deve partire da una chiara attribuzione delle responsabilità. Il process owner identifica la dipendenza e ne determina la rilevanza operativa. La funzione di sicurezza delle informazioni valuta l’esposizione; gli acquisti integrano i requisiti nei criteri di selezione e nel contratto; l’IT verifica il perimetro degli accessi e le soluzioni tecniche. Occorre inoltre stabilire chi classifica il rischio, chi approva eventuali deroghe ai requisiti, chi controlla l’esecuzione del contratto e chi coordina il fornitore durante un incidente. In assenza di questi ruoli, il questionario rimane un documento senza un responsabile e il rischio si disperde tra le diverse funzioni aziendali.

Un piccolo integratore con accesso remoto privilegiato all’ambiente produttivo può generare un’esposizione maggiore rispetto a un grande fornitore di servizi per ufficio, pur avendo un contratto di valore nettamente inferiore. Un guasto, la compromissione di un account tecnico o l’indisponibilità del personale dell’integratore possono fermare direttamente la produzione o ostacolarne il ripristino. La valutazione approfondita deve quindi concentrarsi sui fornitori collegati a processi critici, dotati di accesso remoto o privilegiato, responsabili del trattamento di informazioni rilevanti oppure coinvolti nella risposta agli incidenti e nel ripristino dell’operatività.

Solo dopo aver ricostruito queste dipendenze è possibile collegare correttamente il processo ai requisiti NIS2 in materia di gestione del rischio, sicurezza della supply chain e responsabilità degli organi di gestione, tenendo conto dell’ambito definito dalla normativa nazionale applicabile. L’organo di gestione non deve sostituirsi alla valutazione tecnica. Deve invece approvare i criteri di classificazione dei fornitori, l’attribuzione dei risk owner e il processo per l’accettazione delle deroghe. Tra gli indicatori utili rientrano il numero di processi critici dipendenti da servizi esterni e il numero di fornitori con accesso remoto o privilegiato. Un quadro più ampio di queste decisioni è disponibile in NIS2 nella pratica manageriale: tradurre i requisiti in decisioni, responsabilità e resilienza effettiva dell’organizzazione.

Segmentazione in base all’impatto e agli accessi

Un questionario identico per tutti i fornitori non assicura una valutazione proporzionata al rischio. La segmentazione dovrebbe considerare congiuntamente l’impatto dell’indisponibilità del servizio, la natura delle informazioni trattate, il livello dei privilegi, la possibilità che un incidente si propaghi nell’ambiente dell’organizzazione e la sostituibilità del fornitore. La classificazione deve basarsi sul periodo durante il quale il processo può operare senza quel servizio, definito nell’analisi di impatto sul business, nonché sul numero di processi e sedi dipendenti. Il valore contrattuale e le dimensioni del fornitore sono elementi accessori: non descrivono le dipendenze tecniche, il tempo massimo di interruzione tollerabile o il costo di una sostituzione sicura del servizio.

Le soglie per la valutazione di base, quella approfondita e l’audit devono essere associate a criteri misurabili. Può essere necessario sottoporre ad audit un fornitore il cui guasto comporterebbe il superamento del tempo massimo di interruzione accettabile, che dispone di accessi privilegiati o che non può essere sostituito senza una modifica tecnica rilevante. La valutazione approfondita è appropriata in presenza di accessi limitati, trattamento di informazioni da proteggere o dipendenze di livello successivo. Gli altri fornitori possono essere sottoposti a una valutazione di base, purché non determinino un rischio cumulativo.

Per il fornitore di un sistema HR, l’attenzione deve concentrarsi sulla classificazione delle informazioni, sulle autorizzazioni e sul ripristino dei dati. Un integratore di automazione deve essere valutato soprattutto in relazione all’accesso remoto, alle modifiche di configurazione e alla capacità di fornire supporto dopo un incidente. Un subappaltatore incaricato della manutenzione delle apparecchiature potrebbe non accedere ai sistemi, ma la sua indisponibilità potrebbe fermare il processo per mancanza di ricambi, competenze o documentazione. Le dipendenze tra sistemi informativi, tecnologia operativa e continuità produttiva sono approfondite in NIS2 per le aziende manifatturiere: soggetti interessati, obblighi e preparazione dell’organizzazione senza ridurre il tema alla sola IT.

La classificazione non può rimanere invariata per tutta la durata del rapporto. Deve essere riesaminata quando cambiano il perimetro del servizio, gli accessi, l’architettura, i subappaltatori, le informazioni trattate o la rilevanza del processo. Va inoltre confermata periodicamente, anche se le condizioni contrattuali non sono cambiate. Questo consente di commisurare la due diligence all’esposizione effettiva e di dimostrare che il controllo della supply chain deriva da una valutazione degli impatti, non da una suddivisione puramente formale dei fornitori.

Evidenze al posto delle dichiarazioni

La valutazione del fornitore deve verificare come i controlli vengono attuati, non soltanto l’esistenza di policy e procedure. Le domande devono riguardare la gestione degli accessi, delle vulnerabilità e delle modifiche, i backup, il monitoraggio degli eventi, la risposta agli incidenti, la continuità operativa, la sicurezza del personale e il controllo dei subappaltatori. La risposta “abbiamo una procedura implementata” non è sufficiente se non identifica il responsabile, la frequenza del controllo, le modalità di registrazione dei risultati e la gestione delle eccezioni. Costituiscono inoltre un segnale di allarme i documenti generici che non fanno riferimento al servizio acquistato, alla sua ubicazione o all’ambiente in cui viene erogato.

Prima di avviare la valutazione, occorre definire un set minimo di evidenze per ciascuna classe di fornitore. Per i rischi inferiori possono essere sufficienti le risposte del responsabile del processo, supportate da documenti aggiornati ed esempi di registrazioni. All’aumentare della criticità, devono essere richiesti risultati di test, registri operativi, indicatori sull’esecuzione dei controlli e valutazioni indipendenti. Per i servizi critici può essere opportuno svolgere un confronto tecnico, una valutazione da remoto o un audit in loco. La scelta del metodo dovrebbe dipendere, tra l’altro, dalla possibilità di verificare le misure senza accedere all’infrastruttura e dalle conseguenze di una dichiarazione inesatta. È utile registrare la data e l’esito dell’ultimo test di ripristino del servizio rilevante, nonché i tempi di correzione delle vulnerabilità secondo i livelli di criticità adottati dal fornitore.

La dichiarazione di eseguire backup illustra bene la differenza tra rassicurazione ed evidenza. Non chiarisce se le copie siano segregate dall’ambiente produttivo, chi possa eliminarle, con quale frequenza vengano effettuati i test di ripristino o quale sia stato l’esito dell’ultima prova. Non definisce neppure chi debba ripristinare l’intero servizio: il fornitore dell’infrastruttura, il produttore dell’applicazione, l’integratore o il cliente. Un’evidenza adeguata comprenderà quindi non solo la descrizione delle regole, ma anche la registrazione dell’ultima prova, il perimetro dei dati e delle funzioni ripristinati, le non conformità rilevate e la conferma dell’eliminazione delle cause degli eventuali insuccessi. Una risposta evasiva si riconosce dall’assenza di date, perimetro, responsabilità o dalla mancata riconducibilità dell’evidenza al servizio specifico.

Il certificato di un sistema di gestione è un’evidenza integrativa utile, ma non sostituisce la due diligence. Occorre verificarne il campo di applicazione, la validità, le sedi e i servizi coperti, nonché la corrispondenza di questi elementi con l’oggetto della fornitura. La certificazione della sede centrale non include necessariamente il data center, il team di manutenzione o il subappaltatore che eroga una parte essenziale del servizio. Il certificato può contribuire alla valutazione di base; in presenza di una dipendenza critica, deve tuttavia essere integrato con evidenze operative e, in caso di lacune rilevanti, con un audit. Questo collegamento tra controlli e responsabilità di processo è illustrato anche in TISAX per il responsabile del sistema e l’ingegnere qualità: integrare la sicurezza delle informazioni nei processi aziendali; la sicurezza non dovrebbe restare confinata alla documentazione IT.

Il contratto come strumento di controllo

Il contratto con un fornitore critico deve tradurre l’esito della valutazione del rischio in obblighi attuabili e verificabili. Una clausola di riservatezza, da sola, non è sufficiente. Le disposizioni dovrebbero disciplinare la notifica degli eventi, l’accesso alle informazioni necessarie per valutarne gli effetti, la partecipazione del fornitore all’analisi e al ripristino dell’operatività, il mantenimento delle misure concordate, la gestione delle modifiche e il ricorso a ulteriori subappaltatori. Per il servizio specifico devono inoltre essere concordati parametri di disponibilità, ripristino e conservazione coerenti con le esigenze del processo aziendale, non soltanto con la descrizione standard proposta dal fornitore.

È essenziale individuare il responsabile della negoziazione dei requisiti di sicurezza e definire le soglie per l’accettazione delle deroghe contrattuali. L’ufficio acquisti può gestire il processo contrattuale, ma non dovrebbe decidere autonomamente se siano accettabili una limitazione di responsabilità, il diniego del diritto di audit o la possibilità di affidare liberamente i servizi a subappaltatori. Queste deroghe richiedono, secondo la natura del rischio, la valutazione del process owner, della sicurezza delle informazioni, della continuità operativa e della funzione legale. Se un fornitore dominante non accetta le clausole del cliente, la decisione non dovrebbe limitarsi all’accettazione incondizionata del suo modello. È possibile valutare controlli compensativi, ridurre il perimetro del servizio, rafforzare il monitoraggio oppure accettare formalmente il rischio, documentandone la motivazione e il titolare.

Una clausola che prevede la notifica “senza indebito ritardo” ha un valore operativo limitato se non specifica il canale di comunicazione, il contenuto minimo, i punti di contatto e i soggetti autorizzati a decidere. Il tempo concordato per la notifica deve consentire all’organizzazione di valutare concretamente l’evento e adempiere ai propri obblighi. Il fornitore dovrebbe comunicare almeno la descrizione dell’evento, i servizi e i dati interessati, l’impatto noto o previsto, le misure di contenimento adottate e la data del successivo aggiornamento. Il contratto dovrebbe inoltre disciplinare l’accesso alle registrazioni tecniche e il coinvolgimento degli specialisti competenti nell’analisi delle cause e nel ripristino del servizio.

Analogamente, il solo diritto di audit non garantisce un controllo efficace. Se il contratto non definisce le condizioni che attivano l’audit, il perimetro di accesso alle evidenze, le modalità di tutela delle informazioni riservate, i costi e i termini per concordare e attuare le azioni correttive, la clausola potrebbe rivelarsi inapplicabile proprio durante un incidente. L’ampiezza delle clausole deve dipendere dalla criticità del fornitore e dalla possibilità di sostituire il servizio. Un elenco eccessivo di requisiti, che nessuno monitora successivamente, crea un’apparenza di controllo e aumenta il costo di gestione del contratto. È utile misurare il numero di deroghe soggette ad accettazione formale del rischio e la puntualità nell’adempimento degli obblighi.

Il costo delle modifiche contrattuali non si limita all’attività legale. Comprende la rivalutazione dei fornitori, le negoziazioni, gli audit, il monitoraggio dei parametri concordati e l’attuazione di misure aggiuntive. Queste dipendenze devono essere considerate nel budget descritto in Quanto costa implementare NIS2 e uKSC: costruire il budget per audit, documentazione, formazione e misure di sicurezza evitando errori costosi. Il contratto svolge la propria funzione solo quando l’organizzazione ha nominato un responsabile del monitoraggio, raccoglie evidenze sull’adempimento degli obblighi e ha definito come operare in caso di modifica o cessazione del servizio.

Monitoraggio dopo la firma del contratto

La valutazione iniziale diventa rapidamente obsoleta se, durante la collaborazione, cambiano il perimetro del servizio, l’architettura della soluzione, l’assetto proprietario del fornitore, il luogo del trattamento, i subappaltatori o il livello di accesso a sistemi e informazioni. Il monitoraggio deve quindi includere riesami periodici, con frequenza determinata dalla criticità del servizio, e valutazioni attivate da eventi prestabiliti. I fornitori con un impatto elevato sulla continuità operativa richiedono controlli più frequenti rispetto a quelli che erogano servizi facilmente sostituibili e non dispongono di accessi privilegiati.

Il ciclo di monitoraggio deve avere un responsabile, soglie di escalation e registrazioni obbligatorie. Non è sufficiente verificare i parametri di erogazione del servizio. Occorre collegarli alle informazioni sugli incidenti, agli esiti dei test di continuità e ripristino, allo stato delle azioni correttive, ai cambiamenti dei subappaltatori e ai segnali di deterioramento della capacità operativa del fornitore. Una rivalutazione straordinaria dovrebbe essere attivata, tra l’altro, da:

• una modifica rilevante del perimetro del servizio o degli accessi;
• il trasferimento delle attività di trattamento;
• il cambiamento di un subappaltatore che incide sull’erogazione del servizio;
• ripetute violazioni dei parametri di servizio;
• la mancata chiusura di una non conformità entro il termine;
• un evento che evidenzi un’insufficiente capacità di risposta.

Un fornitore valutato positivamente al momento della stipula potrebbe, dopo un anno, utilizzare un nuovo data center o affidare parte del servizio a un subappaltatore. Il nome e il perimetro dichiarato del servizio rimangono invariati, ma cambiano le dipendenze tecniche, il luogo del trattamento, le modalità di ripristino e la disponibilità delle evidenze. Senza un meccanismo per notificare tali cambiamenti, l’organizzazione controlla un profilo di rischio storico anziché quello effettivo. Tra gli indicatori utili rientrano il numero di modifiche al perimetro, agli accessi o ai subappaltatori che richiedono una rivalutazione, il numero di incidenti e violazioni dei livelli di servizio, nonché la percentuale di azioni correttive chiuse entro il termine concordato.

Una non conformità rilevata non deve necessariamente comportare la cessazione automatica del rapporto. La decisione deve considerare l’impatto della non conformità, il tempo necessario per correggerla, la possibilità di sostituire il servizio e il rischio della fase transitoria. L’organizzazione può richiedere al fornitore azioni correttive, applicare controlli compensativi, accettare temporaneamente il rischio fissando una data di riesame, limitare gli accessi oppure attivare un piano di sostituzione. Ogni percorso richiede un responsabile della decisione, una scadenza, criteri di chiusura e un’evidenza che confermi l’efficacia dell’intervento, non soltanto il completamento dell’attività.

L’efficacia dell’intero meccanismo deve essere verificata periodicamente mediante registrazioni, esercitazioni di risposta e valutazione della capacità decisionale dell’organizzazione quando il rischio cambia. Un riferimento utile per pianificare tale verifica è Audit NIS2 in un’azienda manifatturiera: come verificare la preparazione dell’organizzazione ai nuovi obblighi. L’audit dovrebbe confermare non soltanto l’esistenza di un calendario dei riesami, ma anche che i segnali di allarme attivino l’escalation, che le non conformità siano chiuse secondo criteri prestabiliti e che il rischio del fornitore rimanga collegato alla continuità dei processi aziendali.

Un programma di valutazione pronto per l’audit

Un programma di controllo dei fornitori è pronto per l’audit quando costituisce un unico meccanismo decisionale, non una raccolta di questionari, clausole e registri separati. Il perimetro minimo comprende un registro dei fornitori con le relative dipendenze di processo e tecniche, i criteri di segmentazione, i ruoli decisionali, i requisiti per ciascuna classe, la valutazione delle evidenze, le regole contrattuali, il monitoraggio, l’escalation e la gestione della cessazione del rapporto. Il programma di audit e il registro dei rischi dovrebbero utilizzare le stesse classificazioni, gli stessi ruoli di responsabilità e gli stessi criteri di accettazione.

Quando le risorse sono limitate, il gruppo pilota dovrebbe essere selezionato tra i fornitori che supportano processi critici, dispongono di accessi privilegiati o sono difficili da sostituire. Il perimetro può quindi essere esteso in funzione del livello di rischio e degli esiti delle prime valutazioni. Tentare di includere contemporaneamente l’intero albo fornitori aumenta in genere l’onere amministrativo senza generare un valore proporzionato. L’organo di gestione dovrebbe approvare l’ordine delle valutazioni, il piano di trattamento delle lacune e il budget, nonché decidere sui rischi che superano le deleghe operative stabilite.

Durante un audit, una traccia coerente di una singola decisione è più convincente di una procedura molto articolata: classificazione del fornitore, motivazione dei requisiti, evidenze valutate, condizioni contrattuali pertinenti, registrazioni del monitoraggio e delle non conformità, accettazione formale del rischio o decisione sulle azioni correttive. Il livello di preparazione può essere misurato attraverso la quota di fornitori classificati e valutati nell’ambito del programma, il rispetto del calendario delle valutazioni dei fornitori critici e il numero di rischi privi di titolare, termine di risposta o decisione approvata.

I riferimenti normativi e giuridici devono completare la progettazione del processo, non sostituirne la logica. I requisiti NIS2 devono essere tradotti in responsabilità, criteri, registrazioni ed evidenze verificabili, tenendo conto della normativa nazionale di recepimento applicabile e del relativo campo di applicazione per l’organizzazione. Un esempio settoriale di questo approccio è ISO 19443 — accesso alla supply chain del nucleare polacco, dove la qualificazione e il controllo dei fornitori contribuiscono alla capacità dell’organizzazione di soddisfare i requisiti in condizioni di sicurezza.