NIS2 e la catena di fornitura: cosa chiedere davvero ai fornitori
L’articolo 21 include esplicitamente la sicurezza della catena di approvvigionamento. Un questionario non basta a dimostrarla.
La NIS2 tratta la catena di fornitura come parte del proprio perimetro di rischio, non come un problema di qualcun altro. L’articolo 21 impone esplicitamente misure sulla sicurezza dei rapporti con fornitori diretti, e la responsabilità di gestirle resta in capo all’azienda che li ha scelti — anche quando il fornitore, di per sé, non rientra nell’ambito della direttiva.
Il questionario non è una verifica
La maggior parte delle aziende gestisce il rischio fornitori con un questionario annuale: domande chiuse, risposte auto-dichiarate, nessun riscontro. È un archivio di intenzioni, non un controllo. La NIS2 non vieta il questionario, ma chi lo usa come unico strumento scoprirà la differenza solo dopo un incidente, quando dovrà spiegare al proprio organo di gestione — e potenzialmente all’ACN — su cosa si basava la fiducia riposta in quel fornitore.
Un programma più solido distingue i fornitori per criticità reale (accesso a sistemi, dati trattati, sostituibilità) prima di decidere il livello di verifica: per i pochi fornitori davvero critici, un controllo documentale non basta — serve una verifica indipendente, contrattualmente prevista, con diritto di audit e obblighi di notifica degli incidenti a cascata.
Cosa mettere nel contratto, non solo nel questionario
I requisiti di sicurezza che contano finiscono nel contratto, non in un allegato che nessuno rilegge dopo la firma: tempi di notifica degli incidenti che coinvolgono i tuoi sistemi o dati, diritto di audit, obblighi minimi di sicurezza proporzionati all’accesso concesso, e conseguenze chiare in caso di mancato rispetto. Senza questo, la due diligence iniziale è un esercizio di facciata: rassicura al momento della firma, ma non protegge nei tre anni successivi.
In sintesi
La sicurezza della catena di fornitura non si dimostra con un archivio di questionari compilati. Si dimostra con contratti che impongono obblighi verificabili, e con una lista corta di fornitori davvero critici su cui la verifica va oltre l’autodichiarazione.
