NIS2 e fornitori: perché riguarda anche le PMI della supply chain

Molti titolari di piccole imprese concludono che la NIS2 non li riguarda perché sono sotto le soglie dimensionali. Formalmente può essere vero, ma nella pratica la direttiva arriva lo stesso, attraverso i clienti. Chi è soggetto NIS2 deve gestire i rischi della propria catena di fornitura, e quindi chiederà ai fornitori prove concrete di come proteggono dati, sistemi e servizi.

Cosa dice la NIS2 sulla catena di approvvigionamento

Tra le misure di gestione del rischio che la Direttiva (UE) 2022/2555 e il D.Lgs. 138/2024 richiedono ai soggetti essenziali e importanti c'è esplicitamente la sicurezza della catena di approvvigionamento, compresi gli aspetti relativi ai rapporti con i fornitori diretti.

Il motivo è semplice: molti incidenti non partono dall'azienda colpita, ma da un fornitore con accesso ai suoi sistemi, da un software compromesso o da una casella email violata usata per inviare richieste di pagamento fraudolente. Un soggetto NIS2 non può dirsi protetto se ignora questi punti di ingresso.

Per questo il cliente dovrà valutare la sicurezza dei propri fornitori, tenerne conto nella scelta e inserire requisiti adeguati nei contratti.

Quali richieste possono arrivare a una PMI fornitrice

Le forme variano, ma le richieste più frequenti sono di questo tipo:

• questionari di sicurezza con domande su backup, antivirus, aggiornamenti, accessi, formazione del personale;
• clausole contrattuali che impongono misure minime, riservatezza e obblighi di comunicazione tempestiva in caso di incidente;
• richieste di evidenze: policy scritte, procedure, report di verifica, elenco delle misure adottate;
• regole per gli accessi remoti ai sistemi del cliente, per esempio account nominativi e autenticazione a più fattori;
• audit o verifiche periodiche, nei rapporti più critici.

Un fornitore che risponde in modo vago o non è in grado di dimostrare quello che dichiara rischia di essere considerato un rischio, con possibili conseguenze sulla continuità del rapporto commerciale.

Le misure che conviene avere in ordine

Non serve trasformare una piccola azienda in una banca. Serve però una base solida e, soprattutto, documentata:

1. Inventario di computer, server, dispositivi di rete e servizi cloud utilizzati.
2. Aggiornamenti regolari di sistemi operativi e applicazioni, con un processo di patch management e l'eliminazione dei sistemi non più supportati.
3. Protezione degli endpoint con soluzioni di rilevamento e risposta gestite, non solo un antivirus installato e dimenticato.
4. Autenticazione a più fattori su posta elettronica, accessi remoti e servizi cloud.
5. Backup con almeno una copia isolata o immutabile, e prove di ripristino periodiche.
6. Gestione degli accessi: account personali, privilegi minimi, rimozione tempestiva degli utenti che lasciano l'azienda.
7. Formazione del personale su phishing e frodi via email. Una guida pratica è in questo articolo.
8. Procedura per gli incidenti, che indichi anche come e quando avvisare i clienti.

Documentare: la parte che fa la differenza

Molte PMI applicano già buone pratiche, ma non riescono a dimostrarlo. Quando arriva un questionario, la differenza la fa avere pronti:

• una breve politica di sicurezza approvata dalla direzione;
• la descrizione delle misure tecniche in uso;
• le evidenze di backup e test di ripristino;
• i report di vulnerability assessment o di verifica dei sistemi;
• il registro della formazione svolta.

Un fascicolo ordinato fa risparmiare tempo a ogni nuova richiesta e comunica serietà al cliente.

Un'opportunità, non solo un costo

Vista dal lato del fornitore, la NIS2 può diventare un elemento di differenziazione. In filiere come quella manifatturiera del Nord-Est, dove i rapporti tra committenti e subfornitori sono stretti e di lungo periodo, saper rispondere con precisione alle richieste di sicurezza rafforza la fiducia e può pesare nella scelta tra più fornitori.

Inoltre, le stesse misure che servono a rassicurare i clienti proteggono prima di tutto l'azienda: un ransomware o una frode via email colpiscono il fornitore ben prima di arrivare al committente.

Checklist per il fornitore

• ☐ So quali clienti sono soggetti NIS2 o potrebbero esserlo
• ☐ Ho un inventario aggiornato di dispositivi e servizi
• ☐ Ho MFA su posta e accessi remoti
• ☐ Ho backup isolati e testati
• ☐ Ho una politica di sicurezza scritta e approvata
• ☐ So chi avvisare, e come, se subisco un incidente

Come può aiutarti Area GUI

Area GUI aiuta le PMI fornitrici a mettere in ordine le misure tecniche e la documentazione richiesta dai clienti, dalla sicurezza gestita al monitoraggio dei sistemi. Per approfondire gli aspetti normativi trovi la pagina NIS2; per un confronto sul tuo caso, contattaci.