Sicurezza dei fornitori: valutazione e obblighi NIS2

Il rischio informatico che entra in azienda attraverso i fornitori è oggi una delle vie d’ingresso più sfruttate, e una delle meno presidiate. Non perché manchino gli strumenti per governarlo, ma perché la catena di fornitura è l’unica parte del perimetro aziendale che nessuno controlla direttamente.

Nel 2013 una delle più grandi catene di distribuzione americane, Target, subì il furto dei dati di quaranta milioni di carte di pagamento. Gli attaccanti non forzarono i sistemi dell’azienda dall’esterno: entrarono usando le credenziali di un fornitore di impianti di climatizzazione, collegato alla rete per la manutenzione da remoto. Un anello periferico e insospettabile aprì la porta all’intera infrastruttura.

1. Il rischio che entra dalla porta dei fornitori
2. Con la NIS2 valutare i fornitori è diventato un obbligo
3. Quali fornitori valutare, e con quale intensità
4. Le domande che ottengono risposte utili
5. Come si verifica ciò che il fornitore dichiara
6. Le clausole contrattuali che servono davvero
7. Da obbligo a vantaggio competitivo

Il rischio che entra dalla porta dei fornitori

La logica di chi attacca è semplice. Colpire direttamente una grande azienda ben difesa costa fatica, mentre un suo fornitore più piccolo offre spesso una difesa meno curata e un accesso privilegiato allo stesso obiettivo. È la stessa dinamica che portò nel 2020 alla violazione di SolarWinds, dove un aggiornamento software manomesso raggiunse migliaia di clienti a valle, e che si è ripetuta nel 2023 con l’attacco alla supply chain di 3CX, dove il vettore era l’applicazione desktop di un centralino usato da centinaia di migliaia di aziende.

Il punto delicato è la fiducia implicita.
Un fornitore che gestisce il vostro gestionale, che ha una connessione alla vostra rete o che custodisce i dati dei vostri clienti opera dentro il perimetro della vostra sicurezza, anche se non fa parte della vostra azienda. Ogni accesso concesso a un partner è una chiave duplicata che circola fuori dalle vostre mura, e se chi la detiene la protegge male il problema torna indietro con il vostro nome sopra.

C’è poi un fornitore che quasi nessuna azienda italiana classifica come tale: l’assistenza informatica esterna. Ha credenziali amministrative su tutta l’infrastruttura, spesso da anni e spesso condivise fra più tecnici, e in molti elenchi fornitori non compare affatto perché viene considerata parte di casa. Da quelle credenziali un attaccante ottiene in un passaggio ciò che altrimenti richiederebbe settimane di movimento laterale dentro la rete.

A rendere il quadro più insidioso c’è la scarsa visibilità. Poche aziende sanno con precisione quali fornitori toccano i loro dati critici, con quali permessi e con quali misure di protezione. Senza questa mappa il rischio resta invisibile fino al giorno dell’incidente.

Con la NIS2 valutare i fornitori è diventato un obbligo

Fin qui la prudenza.
Oggi però si aggiunge la legge.
La direttiva NIS2, recepita in Italia con il decreto legislativo 138 del 2024, ha reso la sicurezza della catena di fornitura un obbligo esplicito: le aziende soggette devono gestire i rischi legati ai rapporti con i fornitori diretti, valutandone le pratiche di sicurezza e disciplinandole nei contratti.

Le specifiche di base definite dalla determinazione ACN 379907/2025 sono ancora più precise sul punto. La misura ID.RA-05 richiede che la valutazione del rischio sia condotta a intervalli pianificati e consideri anche le dipendenze da fornitori e partner terzi: non è quindi sufficiente valutare il proprio perimetro interno e considerare chiuso l’esercizio.

Da qui scatta il meccanismo che ogni imprenditore dovrebbe conoscere, l’effetto a cascata.
Le aziende che rientrano nella NIS2 sono tenute a pretendere garanzie di sicurezza dai propri fornitori, a prescindere dalla dimensione di questi ultimi. Una piccola o media impresa che fornisce servizi informatici, logistica o componentistica a un soggetto NIS2 si troverà a compilare questionari di sicurezza, subire audit e dimostrare misure adeguate per continuare a lavorare con quel cliente.

Le conseguenze corrono su due binari. Da un lato le sanzioni per chi è direttamente obbligato e non si adegua. Dall’altro il rischio di essere estromessi dalle filiere dei grandi committenti, e per molte piccole e medie imprese è questo il binario che pesa di più.

Quali fornitori valutare, e con quale intensità

Valutare la sicurezza dei fornitori non è un controllo da fare una volta e archiviare, ed è un’attività che diventa impraticabile se applicata a tappeto con lo stesso metro. Il primo passo è sempre lo stesso: mettere ordine.

Serve un elenco dei fornitori con l’indicazione di quali dati trattano, a quali sistemi accedono e con quali privilegi. Un fornitore che ospita il vostro intero gestionale in cloud pesa in modo diverso da chi vi consegna la cancelleria. Da lì nasce la classificazione per criticità, che è ciò che rende l’attività sostenibile.

La classificazione dice quali partner meritano un esame approfondito e quali possono bastare di controlli più leggeri. Solo a questo punto ha senso valutare il rischio di ciascun fornitore rilevante, concentrando le energie dove servono davvero.

Le domande che ottengono risposte utili

Il questionario di sicurezza è lo strumento più comune e anche il più facile da sprecare. Una domanda formulata in modo generico riceve una risposta generica, che non è verificabile e non riduce il rischio di nulla.

La differenza fra un questionario utile e un adempimento formale sta nel chiedere fatti al posto di rassicurazioni.

L’ultima domanda è quella che sposta più informazione, ed è anche quella che viene omessa più spesso. Il fornitore del vostro fornitore è la parte di catena che nessuno mappa: la software house che vi ha sviluppato il portale ospita il codice da qualche parte, e quel qualche parte è dentro il vostro perimetro di rischio anche se non compare in nessun vostro contratto.

Un riferimento utile per non costruire le domande da zero esiste in italiano.
Il CLUSIT ha pubblicato un questionario per la valutazione dei fornitori, articolato in quarantasette domande a risposta chiusa e multipla, costruito sui requisiti della ISO/IEC 27001 e del Framework Nazionale di Cyber Security. È lo stesso framework secondo cui sono organizzate le specifiche di base NIS2, quindi le due cose parlano la stessa lingua.

Come si verifica ciò che il fornitore dichiara

Un questionario compilato resta una dichiarazione, valida finché qualcuno la verifica. Gli strumenti per esaminare un fornitore sono diversi e conviene combinarli, perché ciascuno mostra solo una parte del quadro.

Le certificazioni, e la ISO/IEC 27001 in particolare, offrono una garanzia esterna sul modo in cui il fornitore organizza la propria sicurezza: dicono che esiste un sistema di gestione controllato da un ente terzo. Le cosiddette pagelle di sicurezza assegnano invece un punteggio alla postura di un’azienda analizzandone i sistemi esposti su internet, e sono utili per un primo confronto rapido fra più fornitori in fase di selezione.

Qui però sta il passaggio che molti saltano. Una certificazione attesta un impianto generale, non dimostra che la singola connessione fra voi e il fornitore sia sicura. Il portale attraverso cui il vostro fornitore logistico legge i vostri ordini, l’accesso remoto con cui il manutentore raggiunge i macchinari, l’integrazione fra il vostro gestionale e il suo: sono punti specifici, e l’unico modo di sapere se tengono è un controllo tecnico sui servizi effettivamente erogati. È la differenza fra un’informazione dichiarata e una verifica documentata con date ed esiti.

C’è poi una situazione che nessun questionario intercetta, perché non riguarda i sistemi del fornitore ma i suoi strumenti di lavoro. Il tecnico che viene a fare manutenzione su una linea di produzione collega alla vostra rete il proprio portatile, configurato secondo le regole della sua azienda e non secondo le vostre, e nella stessa settimana collegato alle reti di altri tre clienti. Quella macchina è dentro il vostro perimetro per il tempo dell’intervento, e sul suo stato non avete alcuna visibilità: la certificazione del fornitore non dice nulla al riguardo, una rete di manutenzione segmentata sì.

Le verifiche possibili si dividono fra documentali e tecniche, e conviene percorrerle in quest’ordine perché il costo cresce a ogni passo.

• Leggere il campo di applicazione del certificato ISO/IEC 27001, non solo la data di scadenza: capita che copra la sede amministrativa e non il datacenter dove risiedono i vostri dati, o una divisione diversa da quella che vi eroga il servizio. Se l’ente emittente è accreditato, validità e perimetro sono consultabili pubblicamente.
• Chiedere l’ultima verifica di sicurezza con tre elementi: data di esecuzione, perimetro coperto, esito delle riverifiche dopo la correzione. Non serve il report integrale, che contiene informazioni riservate del fornitore: basta la pagina di sintesi.
• Osservare dall’esterno il portale attraverso cui accedete al servizio: validità del certificato TLS, presenza dell’autenticazione a più fattori sulla pagina di accesso, limite ai tentativi falliti. Sono controlli che non richiedono la collaborazione di nessuno.
• Verificare sul dominio del fornitore le protezioni contro la falsificazione delle email, che sono ciò che rende possibile una richiesta di cambio IBAN apparentemente autentica.
• Provare il canale di notifica prima dell’incidente: chiamare una volta il referente indicato nel contratto, in orario di lavoro, e vedere chi risponde e cosa sa. È la verifica meno costosa e quella che più spesso rivela una clausola scritta e mai attuata.
• Inventariare gli accessi che il fornitore ha presso di voi: quanti account, con quali privilegi, se hanno l’autenticazione a più fattori, se gli accessi sono registrati, se qualcuno li rivede. È qui che si trovano le credenziali dei fornitori con cui il rapporto è cessato.
• Sottoporre a verifica tecnica i punti di integrazione: il portale con cui il fornitore logistico legge i vostri ordini, l’accesso remoto del manutentore, l’interfaccia fra il vostro gestionale e il suo. Sono componenti della vostra infrastruttura come qualsiasi altro servizio esposto.

Su un punto vale la pena essere espliciti: i sistemi del fornitore non si verificano senza una sua autorizzazione scritta. Una verifica tecnica condotta su infrastrutture di terzi senza mandato non è consentita, a prescindere dall’esistenza di un rapporto contrattuale. Ciò che potete testare liberamente è il vostro perimetro, compresi i punti in cui il fornitore vi entra, e copre la parte che vi riguarda direttamente. Per andare oltre serve il diritto di verifica scritto nel contratto, che è la ragione per cui quella clausola conta.

Le clausole contrattuali che servono davvero

La NIS2 chiede di disciplinare la sicurezza nei contratti, e questa è la parte in cui l’obbligo si traduce in righe scritte. Quattro clausole coprono l’essenziale, e sono quelle da cui partire nei rinnovi dei fornitori critici.

Notifica: un termine massimo in ore per avvisarvi di una violazione che vi riguarda, con un referente nominato e un recapito che risponda anche fuori orario. Diritto di verifica: la facoltà di far condurre verifiche tecniche sui servizi che vi vengono erogati, con preavviso concordato, così che il controllo non dipenda dalla disponibilità del momento. Subfornitori: l’obbligo di comunicarvi chi altro tratta i vostri dati e di avvisarvi prima di cambiarlo. Restituzione e cancellazione: cosa accade ai vostri dati e alle credenziali quando il rapporto finisce, con conferma scritta dell’avvenuta cancellazione.

La quarta è quella che salta più spesso, e ha una conseguenza concreta che si vede negli incidenti reali: le credenziali di un fornitore con cui il rapporto è cessato restano attive, nessuno le disattiva perché nessuno le ha mai censite, e continuano a funzionare per anni. Sono account senza proprietario, spesso senza autenticazione a più fattori, e nessun sistema di monitoraggio segnala un accesso che è formalmente legittimo.

Resta un ultimo aspetto, il monitoraggio nel tempo. La sicurezza di un fornitore non è una fotografia scattata una volta per tutte: un partner solido oggi può indebolirsi domani dopo un cambio di gestione o una crescita disordinata. Rivedere i fornitori critici a intervalli regolari, e ogni volta che cambia qualcosa di rilevante, è ciò che tiene viva la protezione invece di lasciarla invecchiare in un cassetto.

Da obbligo a vantaggio competitivo

C’è un modo più utile di leggere tutto questo. La valutazione dei fornitori non è solo un costo imposto dalla normativa, ma una leva di mercato per chi la sa usare, e vale in entrambe le direzioni della filiera.

Se la vostra azienda acquista servizi critici, saper valutare e monitorare i fornitori protegge la continuità del vostro lavoro: l’incidente di un partner strategico può fermare la produzione tanto quanto un attacco diretto, e arrivare preparati significa poter reagire invece di subire.

Se invece la vostra azienda è un fornitore, poter dimostrare con prove concrete la propria sicurezza diventa un argomento di vendita. Nelle gare e nei rinnovi contrattuali con i grandi committenti, presentarsi con certificazioni e verifiche in regola fa la differenza fra restare in partita e uscirne. In un contesto in cui tutti iniziano a chiedere garanzie, l’affidabilità dimostrabile è un patrimonio, e le aziende che governano la sicurezza della catena di fornitura con metodo si presentano sul mercato come partner su cui si può contare.