Catena di fornitura

In breve. La NIS2 si occupa anche dei fornitori con due adempimenti distinti: la gestione interna del rischio di fornitura, prevista dalle misure GV.SC, e la comunicazione annuale ad ACN dei «fornitori rilevanti NIS». Non vanno confusi.

Due concetti diversi

Il processo interno

1. Inventario dei fornitori con referente e tipologia (GV.SC-04).
2. Valutazione del rischio della fornitura (GV.SC-07): accesso ai sistemi, accesso a dati e proprietà intellettuale, impatto di un'interruzione, tempi e costi di ripristino, ruoli del fornitore.
3. Requisiti di sicurezza coerenti con il rischio (GV.SC-01).
4. Contratti: i requisiti entrano in offerte, gare e accordi, salvo ragioni documentate (GV.SC-05).
5. Ruoli del personale esterno definiti e noti (GV.SC-02).
6. Verifica periodica della conformità (GV.SC-07 p. 2).

Non servono requisiti per ogni acquisto: si applicano alle forniture con potenziali impatti sulla sicurezza dei sistemi (FAQ MSB.15).

Chi è un fornitore rilevante NIS

Un soggetto che fornisce servizi o prodotti a un soggetto NIS, se è soddisfatto almeno un criterio:

• Fornitura ICT. Rientra nelle attività dell'Allegato I, punti 8 e 9: IXP, DNS, cloud, data center, CDN, servizi fiduciari, connettività, servizi gestiti e di sicurezza gestiti.
• Fornitura non fungibile. La sua interruzione avrebbe impatto significativo sulle attività NIS, anche per assenza di alternative.

Cosa si comunica

Denominazione, codice fiscale, Paese della sede legale, codici CPV delle forniture, criterio di rilevanza.

Se la fornitura passa da un contraente che si serve di un subfornitore, in linea generale si indica il contraente; il subfornitore rileva quando il suo contributo è palese (FAQ FRN.7). Le regole di dettaglio, compresi fornitori esteri e di gruppo, sono nelle FAQ FRN.

Esempi di clausole contrattuali da valutare

• Notifica tempestiva degli incidenti al cliente, con tempi compatibili con le 24 ore.
• Autenticazione forte e utenze nominative per gli accessi remoti.
• Gestione delle vulnerabilità e aggiornamenti.
• Sub-fornitori dichiarati e soggetti agli stessi requisiti.
• Diritto di verifica o evidenze equivalenti.
• Restituzione o cancellazione dei dati al termine.
• Continuità del servizio e tempi di ripristino.

Le clausole sono esempi editoriali, non formule imposte da ACN, e vanno adattate al rischio.

Consigli per i fornitori fuori ambito

Aspettarsi questionari e clausole dai clienti NIS. Conviene preparare una scheda di sicurezza con MFA, backup, aggiornamenti, gestione degli incidenti, certificazioni, referente di sicurezza.