Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
Classificare prima di chiedere documenti
La NIS2 include la sicurezza della catena di approvvigionamento tra le misure di gestione del rischio. Non tutti i fornitori richiedono la stessa profondità: occorre distinguere chi ospita dati, amministra sistemi, sviluppa software, eroga connettività o sostiene un servizio essenziale.
La classificazione combina impatto dell’indisponibilità, sensibilità dei dati, privilegi, sostituibilità e concentrazione. Il risultato decide questionario, evidenze, approvazione e frequenza del riesame.
- Servizi e processi dipendenti
- Dati trattati e loro localizzazione
- Accessi logici, fisici e privilegiati
- Subfornitori e componenti rilevanti
- Tempi e difficoltà di sostituzione
Svolgere una due diligence verificabile
Il NIST SP 1326 descrive la due diligence come ricerca delle informazioni pertinenti sul fornitore o prodotto per prendere decisioni consapevoli. Per una PMI significa raccogliere evidenze proporzionate: responsabilità, pratiche di sicurezza, gestione delle vulnerabilità, incidenti, continuità e catena di subfornitura.
Certificazioni e questionari aiutano ma non sostituiscono il giudizio sul servizio concreto. Un documento può coprire un perimetro diverso da quello acquistato; una risposta positiva deve essere collegata, quando rilevante, a evidenze, contratto o verifica tecnica.
- Perimetro delle attestazioni disponibili
- Processo di notifica degli incidenti
- Backup, recovery e continuità del servizio
- Sviluppo sicuro e gestione delle vulnerabilità
- Assicurazioni, stabilità e dipendenze di filiera
Decidere, trattare e riesaminare il rischio
L’esito non deve essere soltanto idoneo o non idoneo. Può richiedere clausole, segmentazione, accessi temporanei, maggiore logging, prove di ripristino, una seconda fonte o un piano di uscita.
Il rischio cambia con acquisizioni, nuovi subfornitori, incidenti, variazioni del servizio e rinnovi. Fornitori critici e azioni aperte entrano nel registro dei rischi e vengono riesaminati con una frequenza stabilita.
- Rischio iniziale e residuo
- Controlli richiesti e responsabile
- Eccezioni approvate e scadenza
- Indicatori e eventi che attivano il riesame
- Strategia di sostituzione o continuità
Domande frequenti
Serve valutare tutti i fornitori allo stesso modo?+
No. La profondità deve dipendere dall’impatto, dai dati, dai privilegi, dalla sostituibilità e dalla criticità del servizio.
Una certificazione ISO basta?+
È un’evidenza utile se perimetro e validità sono pertinenti, ma non sostituisce la valutazione del servizio, del contratto e delle dipendenze concrete.
Quando ripetere la valutazione?+
Periodicamente per i fornitori critici e quando cambiano servizio, subfornitori, proprietà, rischio, contratto o si verifica un incidente significativo.