Fornitori Critici e Business Continuity: La Logica Operativa NIS2 dell’ACN

Contesto

L'Agenzia per la Cybersicurezza Nazionale (ACN), tramite le sue determinazioni operative e FAQ, ha ridefinito il concetto di fornitori critici nel contesto del D.lgs. 138/2024, che recepisce la Direttiva NIS2. L'attenzione non deve essere posta sulla semplice elencazione dei fornitori, ma sulla valutazione della struttura di rischio dei servizi essenziali di un'organizzazione.

Il processo di identificazione dei fornitori critici parte dai servizi essenziali, per poi individuare i sistemi e le risorse che li abilitano. Successivamente, emergono le dipendenze, inclusi i fornitori. Questo è in linea con la sottocategoria GV.OC-04 del Framework Nazionale per la Cyber security e la Data Protection, che richiede l'identificazione dei sistemi a supporto dei servizi critici. I requisiti operativi dell'ACN impongono che queste dipendenze siano tracciate, documentate e mantenute aggiornate in modo dinamico, riflettendo i cambiamenti dell'organizzazione.

Ulteriori indicazioni provengono dalle sottocategorie GV.SC-01 e GV.SC-04 del Framework, che collocano il tema dei fornitori all'interno della gestione del rischio della catena di approvvigionamento e ne richiedono il monitoraggio continuo. La determinazione del 13 aprile 2026 (Capo IV) impone che le comunicazioni all'ACN relative ai fornitori rilevanti siano corrette, aggiornate e riviste in caso di variazioni. Un fornitore è considerato critico quando la sua fornitura rientra nelle attività dell'Allegato I, punti 8 e 9, del decreto NIS (fornitura ICT), o la sua indisponibilità compromette direttamente un servizio essenziale, come ulteriormente chiarito dalla FAQ FRN.2, anche a causa dell'assenza di alternative. La criticità di un fornitore è il risultato di una valutazione del rischio che considera impatto, probabilità di interruzione e possibilità di sostituzione.

Perché conta

Questo chiarimento è cruciale per le organizzazioni soggette al D.lgs. 138/2024 (NIS2) perché impone un cambiamento di paradigma nella gestione dei fornitori. Non basta stilare una lista, ma è necessaria un'analisi approfondita del rischio che i fornitori rappresentano per l'erogazione dei servizi essenziali. Ignorare questo aspetto espone l'organizzazione a non conformità con la normativa NIS2, con potenziali sanzioni e gravi interruzioni operative.

Per un DPO o responsabile IT, comprendere e implementare queste direttive significa garantire che la resilienza operativa sia costruita su fondamenta solide, riducendo l'esposizione a rischi cyber e operativi derivanti dalla supply chain. La gestione dinamica delle dipendenze è fondamentale per la business continuity e per la capacità di rispondere rapidamente a incidenti, proteggendo così la disponibilità, integrità e riservatezza dei dati trattati, sebbene il GDPR non sia esplicitamente menzionato, la protezione dei dati è intrinsecamente legata alla continuità dei servizi IT e alla sicurezza della supply chain.

Cosa fare

• Identificare con precisione tutti i servizi essenziali erogati dall'organizzazione.
• Mappare i sistemi e le risorse tecnologiche che supportano ciascun servizio essenziale.
• Tracciare, documentare e mantenere aggiornate dinamicamente tutte le dipendenze dai fornitori.
• Effettuare una valutazione del rischio per ogni fornitore, basando la sua criticità sull'impatto sui servizi essenziali, la probabilità di interruzione e la disponibilità di alternative.
• Assicurarsi che le informazioni sui fornitori rilevanti, trasmesse all'ACN, siano sempre corrette e tempestivamente aggiornate in caso di variazioni.

Cosa evitare

• Basare l'identificazione dei fornitori critici unicamente su una lista statica.
• Trattare la mappatura delle dipendenze come un'attività una tantum o una fotografia statica.
• Considerare la criticità di un fornitore come una qualità intrinseca e non come il risultato di una valutazione di rischio.

Implicazioni pratiche

Le organizzazioni devono adottare un approccio proattivo e basato sul rischio per la gestione dei fornitori, superando la visione meramente contrattuale. Questo richiede un investimento in strumenti e processi per il monitoraggio continuo, la valutazione del rischio e la pianificazione della business continuity. L'integrazione di queste pratiche nei cicli operativi e decisionali è indispensabile per la conformità NIS2 e per la resilienza complessiva.

Azioni da fare

• Rivedere e implementare procedure per l'identificazione dei servizi essenziali e la mappatura delle dipendenze.
• Stabilire un framework per la valutazione e il monitoraggio dinamico dei fornitori critici.
• Formare il personale coinvolto (IT, procurement, DPO) sulle nuove metodologie e sui requisiti ACN/NIS2.
• Aggiornare i contratti con i fornitori per includere clausole relative alla condivisione delle informazioni sulle dipendenze e sugli standard di sicurezza.

Errori da evitare

• Non integrare la gestione del rischio dei fornitori con la pianificazione della business continuity.
• Sottovalutare la complessità e l'impegno richiesti per il monitoraggio dinamico delle dipendenze.
• Limitarsi a un approccio reattivo anziché proattivo nella gestione dei fornitori critici.

Domande di self-assessment

• I nostri servizi essenziali sono chiaramente definiti e le loro dipendenze dai fornitori sono state mappate in modo esaustivo?
• Abbiamo implementato un processo che garantisce l'aggiornamento continuo delle informazioni sui fornitori e sulle dipendenze?
• La nostra metodologia per definire un fornitore come 'critico' è basata su una valutazione del rischio approfondita (impatto, probabilità, alternative)?
• Siamo in grado di dimostrare all'ACN la correttezza e l'attualità delle informazioni sui nostri fornitori rilevanti?
• Il nostro piano di business continuity tiene adeguatamente conto delle interruzioni dovute a fornitori critici?

Riferimenti

Normativa nazionale: D.lgs. 138/2024 · Direttiva NIS2 · Framework Nazionale per la Cyber security e la Data Protection (GV.OC-04, GV.SC-01, GV.SC-04) · Determinazione ACN del 13 aprile 2026 (Capo IV) · FAQ ACN FRN.2