Sicurezza della catena di fornitura: NIS 2 e TISAX®

Un'azienda può proteggere bene i propri sistemi e restare comunque esposta. Basta un fornitore IT con accesso remoto poco protetto, un gestionale non aggiornato, un progettista esterno che conserva i disegni su un PC privo di cifratura.

Per questo sia la NIS 2 sia TISAX® dedicano particolare attenzione ai fornitori. Il messaggio è lo stesso: la sicurezza di un'azienda dipende anche da quella di chi opera per suo conto.

Due direzioni: cliente e fornitore

Una PMI della filiera automotive o manifatturiera si trova quasi sempre in due posizioni contemporaneamente:

• cliente dei propri fornitori (IT, cloud, software, manutenzione, logistica, progettisti esterni), con il compito di gestire il rischio che questi introducono;
• fornitore di un cliente più grande, spesso un OEM o un Tier 1, che richiede a sua volta un label TISAX, questionari di sicurezza o clausole contrattuali.

Le regole valgono in entrambe le direzioni: ciò che il cliente chiede all'azienda, prima o poi l'azienda dovrà chiederlo, in modo proporzionato, ai propri fornitori.

Cosa chiede la NIS 2

La Direttiva (UE) 2022/2555, recepita con il D.Lgs. 138/2024, inserisce la sicurezza della catena di approvvigionamento tra le misure di gestione del rischio dei soggetti essenziali e importanti, compresi i rapporti con fornitori diretti e fornitori di servizi. Richiede inoltre di considerare le vulnerabilità specifiche di ciascun fornitore, la qualità dei prodotti e le pratiche di sicurezza adottate, comprese quelle di sviluppo sicuro.

In Italia le misure di base dell'ACN, definite nella determinazione n. 379907/2025, traducono questi principi in requisiti concreti. In sintesi:

• un processo strutturato: valutazione del rischio del fornitore, definizione dei requisiti, applicazione tramite contratto, verifica;
• requisiti tradotti in clausole: sicurezza, livelli di servizio, obblighi di notifica degli incidenti, diritti di audit;
• proporzionalità: i requisiti riguardano le forniture che incidono davvero sulla sicurezza, non ogni singolo acquisto;
• attenzione alla subfornitura, quando rilevante.

La NIS 2 attribuisce agli organi di amministrazione la responsabilità di approvare queste misure e di sovrintenderne l'attuazione. Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore, per i soggetti essenziali, e fino a 7 milioni di euro o all'1,4% del fatturato mondiale annuo, se superiore, per i soggetti importanti.

Cosa chiede TISAX

TISAX nasce proprio come strumento di fiducia lungo la catena di fornitura automotive. Il cliente richiede un label (AL2 o AL3, in base alle informazioni affidate) per avere evidenza che le proprie informazioni risultino protette anche presso il fornitore.

Il catalogo VDA ISA, su cui si svolge l'assessment, contiene requisiti specifici sui rapporti con i fornitori. In sostanza richiede di:

• assicurare un livello di sicurezza adeguato anche presso fornitori e partner che trattano informazioni dei clienti;
• regolare la riservatezza con accordi di non divulgazione;
• trasferire ai subfornitori i requisiti ricevuti dai clienti, quando operano sulle loro informazioni.

Se un fornitore gestisce disegni, prototipi o dati di un OEM, durante l'assessment verrà chiesto come ne è stata verificata l'affidabilità. In alcuni casi la risposta più semplice è un label TISAX del fornitore; in altri bastano evidenze documentate e accordi adeguati. Per gli assessment ordinati dal 1° gennaio 2027 il riferimento è il catalogo VDA ISA2027.

Chi adotta un sistema ispirato alla ISO/IEC 27001:2022 ritrova gli stessi temi nell'Annex A, nei controlli dedicati ai rapporti con i fornitori, alla catena di fornitura ICT e ai servizi cloud.

Gli elementi di un approccio efficace

• Mappatura dei fornitori con accesso a sistemi, informazioni aziendali o informazioni dei clienti, compresi quelli meno visibili: assistenza remota dei macchinari, cloud dei backup, consulenti esterni.
• Classificazione del rischio in base a livello di accesso, tipo di dati trattati, impatto di un'interruzione e tempi di ripristino, per distinguere i pochi fornitori critici dai molti marginali.
• Requisiti definiti per i fornitori critici: misure minime, notifica degli incidenti entro tempi certi, diritto di verifica, gestione dei dati a fine rapporto.
• Contratti aggiornati: un requisito non scritto non esiste; conviene partire dai rinnovi e dalle nuove forniture.
• Verifica nel tempo con questionari, richiesta di evidenze, label TISAX o report di verifiche tecniche, con frequenza proporzionata al rischio.

Il supporto di General Tech di Rosario Zappalà

La sicurezza dei fornitori viene affrontata all'interno dei percorsi di consulenza seguiti da Rosario Zappalà, consulente indipendente, non come attività separata. Nella consulenza TISAX rientra nelle politiche e nelle evidenze strutturate sul VDA ISA; nella consulenza NIS 2 nel piano di adeguamento alle misure ACN; nell'audit interno vengono verificati contratti ed evidenze e intervistati i responsabili. Il percorso parte da una call gratuita di 30 minuti e prosegue con una proposta scritta personalizzata con attività e tempi.

Domande frequenti

Tutti i fornitori devono ottenere un label TISAX?

No. Il requisito riguarda i fornitori che trattano informazioni dei clienti con un livello di protezione rilevante. Per gli altri possono bastare accordi e verifiche proporzionate.

Il tema riguarda anche chi non rientra nella NIS 2?

Spesso sì. Se il cliente è un soggetto NIS, richiederà il rispetto di requisiti di sicurezza nel contratto: il coinvolgimento è indiretto, come fornitore.

Un questionario basta per valutare un fornitore?

Per i fornitori marginali può bastare. Per quelli critici servono evidenze: documenti, accordi, verifiche tecniche o un label TISAX.

Cosa accade se un fornitore subisce un incidente?

Deve informare il cliente nei tempi previsti dal contratto. Per un soggetto NIS, se l'incidente risulta significativo scattano gli obblighi di notifica: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.