NIS2 e supply chain: valutare il rischio fornitori senza bloccare gli acquisti
Per le aziende soggette alla NIS2 la sicurezza della catena di fornitura entra nei processi di procurement
— COMUNICAZIONE AZIENDALE —
Per le aziende soggette alla NIS2 la sicurezza della catena di fornitura entra nei processi di procurement. La sfida è capire quali categorie di fornitori hanno bisogno di verifiche più approfondite e con quale livello di priorità.
Centinaia di fornitori, informazioni distribuite tra uffici diversi e spesso un foglio Excel usato come unico punto di raccolta. È in questo contesto che molte aziende stanno affrontando una richiesta ormai difficile da rimandare, quella di valutare il rischio cyber della propria catena di fornitura.
Con la Direttiva (UE) 2022/2555, la NIS2, e il D.Lgs. 138/2024 che l’ha recepita in Italia, la sicurezza della supply chain entra tra le misure di gestione del rischio richieste ai soggetti essenziali e importanti. Per le organizzazioni che rientrano nel perimetro, quindi, verificare come i fornitori possono incidere sulla postura di sicurezza aziendale è parte degli obblighi previsti dalla normativa e la mancata adozione delle misure richieste può comportare sanzioni.
Cosa chiede davvero la NIS2 rispetto ai fornitori
Tra le misure previste dal D.Lgs. 138/2024 rientra espressamente la sicurezza della catena di approvvigionamento, compresi gli aspetti di sicurezza che riguardano i rapporti con fornitori e fornitori di servizi diretti.
La norma però non entra nel metodo. La NIS2 non stabilisce che ogni fornitore debba superare lo stesso questionario, ottenere un determinato punteggio o produrre lo stesso insieme di documenti.
L’approccio previsto si basa sul rischio e sulla proporzionalità. Un fornitore che gestisce servizi ICT critici o accede ai sistemi aziendali richiede quindi un livello di approfondimento diverso da quello necessario per un fornitore con un impatto marginale sulla postura di sicurezza dell’organizzazione.
Per l’ufficio acquisti significa stabilire chi valutare, quanto approfondire e con quale frequenza, collegando le verifiche alle caratteristiche effettive della fornitura. Sono scelte che spettano all’azienda, purché coerenti con il rischio.
Autovalutazione e verifica documentale hanno costi diversi
Il primo livello di un vendor risk assessment è un’autovalutazione, nella quale il fornitore risponde a un insieme strutturato di domande sulla propria postura di sicurezza, per esempio su gestione degli accessi, incident response, continuità operativa o gestione delle vulnerabilità.
Questo primo livello permette di raccogliere informazioni comparabili su un numero elevato di soggetti con un effort relativamente contenuto.
La verifica documentale introduce un livello successivo: alle dichiarazioni si affianca l’analisi delle evidenze che le supportano, come policy, procedure, certificazioni o report sugli incidenti.
I due livelli richiedono risorse diverse, perché esaminare le evidenze richiede competenze e tempo al fornitore e alle persone incaricate della verifica.
Estendere questo secondo livello indistintamente a centinaia di aziende può quindi creare un collo di bottiglia nel processo di acquisto; conviene invece concentrare gli approfondimenti sui fornitori che presentano un rischio maggiore o che svolgono attività più sensibili.
Dal questionario allo scoring di rischio
Un questionario NIS2 può essere organizzato, ad esempio, in otto sezioni e fino a quarantotto domande, a seconda della tipologia di soggetto. Le risposte alimentano un punteggio sintetico associato alla valutazione, alla quale viene attribuita anche una scadenza.
Lo scoring di rischio, però, non dovrebbe diventare una soglia automatica tra fornitori ammessi ed esclusi.
Un punteggio basso può portare a richiedere documentazione aggiuntiva o a coinvolgere il team di cybersecurity; in altri casi l’azienda può introdurre specifiche condizioni prima dell’acquisto oppure concordare con il fornitore un piano di rientro.
Il questionario standard rappresenta un punto di partenza per una prima classificazione, ma due aziende soggette alla NIS2 possono avere supply chain e profili di rischio molto diversi. In questi casi il vendor risk assessment può evolvere verso questionari costruiti sulle esigenze dell’azienda e differenziati per categorie di fornitura o livelli di rischio, senza estendere le stesse richieste all’intero parco fornitori.
Cosa cambia per i fornitori dei soggetti NIS2
La stessa richiesta, vista dall’altra parte, arriva alle imprese che forniscono soggetti essenziali o importanti, per le quali documentare la propria postura di sicurezza è diventato un requisito d’accesso. Chi non riesce a farlo rischia di restare fuori dalle selezioni o di trovarsi bloccato al rinnovo del contratto.
Una valutazione che scade è più utile di una fotografia
La postura di sicurezza di un fornitore cambia nel tempo insieme ai sistemi utilizzati, alle procedure e ai servizi erogati.
Per questo il supplier risk management prosegue anche dopo la qualificazione dei fornitori.
Alla scadenza l’azienda può richiedere al fornitore un nuovo assessment, mentre un cambiamento significativo nel rapporto può rendere opportuno anticiparlo; se il profilo di rischio peggiora, procurement e cybersecurity possono decidere quali verifiche aggiungere.
Dalla cybersecurity al processo di qualifica dei fornitori
DigitalPA sviluppa soluzioni software dedicate al procurement e alla gestione del ciclo di vita dei fornitori, dalla qualificazione al monitoraggio delle performance.
Un esempio operativo è Vendor Network 360, il motore di ricerca fornitori di Online Procurement, in cui sono i fornitori stessi a compilare i questionari. Integra un questionario standard NIS2 articolato in 8 sezioni e fino a 48 domande, associando alla valutazione un punteggio e una scadenza. L’organizzazione mantiene comunque la responsabilità di valutare il rischio e decidere come agire.
Webinar | NIS2 e catena di fornitura: qualificare la sicurezza dei fornitori senza bloccare gli acquisti
Webinar gratuito | 3 novembre 2026 | ore 10.00
DigitalPA approfondirà il tema in un webinar di 30 minuti, Q&A inclusi, rivolto a chi si occupa di procurement, supply chain e cybersecurity e alle imprese che forniscono soggetti NIS2.
Durante l’incontro verranno mostrati la compilazione del questionario NIS2 lato fornitore, la visualizzazione del punteggio e della relativa scadenza e la ricerca nel back office dei fornitori in base al questionario NIS2.
Relatori: Maurizio Papa, Product Owner di Online Procurement, che segue l’evoluzione della suite e affianca le aziende nei progetti di digitalizzazione dei processi di acquisto, e Maena Murgia, Consulente Procurement senior e Responsabile commerciale.
Il questionario è uno strumento di raccolta e valutazione delle informazioni fornite dai fornitori, a supporto delle decisioni dell’azienda. Non costituisce una certificazione né un’attestazione di conformità alla direttiva NIS2.
