L’Agenzia per la Cybersicurezza Nazionale ha aggiornato le FAQ dedicate alle misure di sicurezza per la supply chain dei soggetti NIS, fornendo nuovi chiarimenti operativi destinati ad accompagnare imprese e pubbliche amministrazioni nell’attuazione della direttiva europea sulla cybersicurezza.
L’aggiornamento non introduce nuovi obblighi, ma definisce con maggiore precisione come devono essere gestiti i rapporti con fornitori e partner tecnologici, superando un’impostazione uniforme e privilegiando un approccio fondato sulla valutazione del rischio.
Il principio è semplice: non tutti i fornitori rappresentano lo stesso livello di esposizione e, di conseguenza, non tutti devono essere sottoposti agli stessi requisiti di sicurezza.
Le nuove FAQ individuano un percorso articolato in quattro fasi: valutazione del rischio associato alla fornitura, individuazione dei requisiti di sicurezza, inserimento delle relative clausole negli strumenti contrattuali e verifica periodica del loro rispetto.
Particolare rilievo assume il chiarimento secondo cui non sarà necessario modificare indiscriminatamente tutti i contratti già in essere. Gli obblighi riguarderanno principalmente i nuovi affidamenti, i rinnovi e le proroghe, evitando così un pesante impatto amministrativo sulle organizzazioni.
L’ACN chiarisce inoltre che i requisiti di sicurezza devono essere proporzionati alla criticità della fornitura. Non è quindi richiesto trasferire automaticamente ai fornitori tutte le misure previste dalla normativa NIS 2: ogni scelta dovrà essere motivata attraverso una preventiva analisi del rischio.
Per effettuare tale valutazione vengono indicati cinque elementi minimi: il livello di accesso ai sistemi informativi, l’accesso a dati e proprietà intellettuale, l’impatto di un’eventuale interruzione del servizio, i tempi e i costi di ripristino e il ruolo svolto dal fornitore nella gestione dei sistemi ICT.
Ulteriori precisazioni riguardano i contratti misti e i raggruppamenti temporanei di imprese, nei quali le misure di sicurezza potranno essere applicate esclusivamente ai soggetti e alle attività che presentano effettivi impatti sulla sicurezza informatica.
Le nuove FAQ confermano così l’impostazione della direttiva NIS 2: la sicurezza della supply chain non può essere affrontata con modelli standardizzati, ma richiede un processo continuo di analisi, monitoraggio e documentazione delle decisioni adottate. Per le organizzazioni interessate rappresentano un importante supporto operativo in vista delle prossime scadenze previste dal percorso di adeguamento alla normativa.