Supply chain NIS2: le nuove FAQ ACN aiutano a chiarire chi è il vero fornitore rilevante

Nella gestione della supply chain esiste una domanda che, fin dall'entrata in vigore della disciplina NIS2, ha posto non pochi problemi interpretativi: quando un servizio viene acquistato tramite un intermediario ma materialmente erogato da un altro soggetto, quale dei due rileva ai fini della sicurezza della catena di approvvigionamento?

Le nuove FAQ dell'Agenzia per la Cybersicurezza Nazionale contribuiscono a chiarire questo profilo, offrendo criteri interpretativi per le valutazioni dei soggetti NIS.

La logica della NIS2: governare il rischio, non il contratto

Il chiarimento fornito dall'ACN è pienamente coerente con l'impostazione della Direttiva NIS2 e del decreto legislativo n. 138/2024.

La disciplina non richiede infatti un controllo formale dei rapporti contrattuali, ma impone ai soggetti essenziali e importanti di individuare, valutare e gestire i rischi che possono incidere sulla sicurezza dei propri sistemi informativi e sulla continuità dei servizi erogati.

È la stessa logica che permea tutte le misure di gestione del rischio previste dalla normativa: comprendere quali elementi dell'organizzazione e della catena di approvvigionamento possano realmente compromettere la resilienza dell'impresa e adottare misure adeguate per governarli. Le misure di sicurezza di base dedicate alla supply chain, infatti, richiedono una specifica politica di gestione del rischio dei fornitori e una valutazione concreta delle forniture che possono incidere sulla sicurezza dei sistemi informativi e di rete.

In questa prospettiva, il contratto rappresenta certamente un elemento di valutazione, ma non necessariamente quello decisivo.

Il criterio indicato dall'ACN

Le FAQ affrontano uno dei casi più ricorrenti nella pratica.

Un'impresa acquista un servizio da un operatore, ma questo viene in tutto o in parte erogato da un diverso soggetto. Si pensi, ad esempio, ai rivenditori di servizi cloud, ai fornitori SaaS, ai servizi gestiti o ai rapporti caratterizzati da una pluralità di subfornitori.

L'ACN chiarisce che non esiste una soluzione valida in ogni situazione.

Occorre invece analizzare quale soggetto contribuisca concretamente all'erogazione del servizio e quale incidenza abbia sulla sicurezza e sulla continuità operativa del soggetto NIS.

Se l'intermediario mantiene un ruolo effettivo nell'erogazione del servizio, nella sua gestione o nelle misure di sicurezza applicate, sarà normalmente lui il fornitore rilevante.

Se, invece, svolge una funzione sostanzialmente commerciale e il servizio dipende, sotto il profilo tecnico e operativo, da un diverso operatore, sarà quest'ultimo a dover assumere rilievo nella valutazione della supply chain.

Non si tratta, quindi, di individuare automaticamente il soggetto con cui è stato sottoscritto il contratto, ma quello dal quale deriva il rischio che la disciplina intende presidiare.

Un principio che va oltre i rapporti intermediati

Il criterio individuato dall'ACN non riguarda soltanto le forniture intermediate.

Lo stesso approccio interpretativo trova applicazione anche nei rapporti infragruppo, nei confronti dei fornitori esteri, nelle catene di subfornitura e, più in generale, in tutte le situazioni in cui l'effettiva erogazione del servizio non coincide con la struttura formale dei rapporti contrattuali.

Il filo conduttore rimane sempre lo stesso: comprendere chi incide realmente sulla sicurezza dei sistemi informativi e sulla capacità dell'organizzazione di erogare i propri servizi.

Le ricadute operative per i soggetti NIS

Le FAQ confermano una tendenza ormai evidente nell'attuazione della disciplina NIS2: la gestione della supply chain non può essere ridotta alla predisposizione di un elenco di fornitori.

I soggetti NIS sono chiamati a svolgere un'attività ben più articolata, che comprende almeno:

• la mappatura delle attività e dei servizi realmente critici;

• l'individuazione dei fornitori dai quali dipende la continuità operativa;

• la raccolta di adeguate garanzie tecniche, organizzative e contrattuali;

• la documentazione delle valutazioni effettuate e dei criteri adottati.

Solo attraverso questo percorso diventa possibile dimostrare di aver applicato un'autentica gestione del rischio della supply chain, come richiesto dalla normativa e dalle misure di sicurezza di base.

Una lettura che guarda alla sostanza

Più che introdurre nuovi obblighi, le FAQ confermano un principio destinato ad assumere un ruolo sempre più centrale nell'applicazione della NIS2: la sicurezza della catena di approvvigionamento deve essere valutata guardando alla sostanza dei rapporti e non soltanto alla loro configurazione contrattuale.

Per le organizzazioni soggette alla disciplina ciò significa adottare un approccio consapevole, documentato e fondato sul rischio. Ed è proprio questa capacità di comprendere la propria effettiva dipendenza dai fornitori che rappresenta oggi uno degli elementi più significativi della resilienza richiesta dalla normativa.