Come la Direttiva NIS2 affronta la questione della cibersicurezza nelle catene di fornitura?

La Direttiva NIS2 attribuisce un’importanza significativa al rafforzamento della cibersicurezza all’interno delle catene di fornitura, riconoscendo che le vulnerabilità di fornitori e prestatori di servizi possono rappresentare rischi sostanziali per le entità essenziali e importanti. Se vuoi capire meglio qual è l’obiettivo principale della Direttiva NIS2, puoi approfondire nell’articolo dedicato.

Ecco come la direttiva affronta questa problematica:

Misure Obbligatorie per la Sicurezza della Catena di Fornitura

• Requisiti di Gestione del Rischio: La direttiva impone che le entità essenziali e importanti implementino misure appropriate e proporzionate di gestione del rischio di cibersicurezza, che includono esplicitamente l’affrontare i rischi nelle loro catene di fornitura e nelle relazioni con i fornitori.
• Valutazione dei Fornitori: Le entità sono tenute a valutare le pratiche di cibersicurezza dei loro fornitori e prestatori di servizi, analizzando il potenziale impatto dei fornitori sulla sicurezza dei propri sistemi di rete e informazione.

Approccio Basato sul Rischio alla Sicurezza della Catena di Fornitura

• Misure Personalizzate: Le entità devono adottare un approccio basato sul rischio nella sicurezza delle loro catene di fornitura, considerando fattori come la sensibilità dei dati gestiti dai fornitori, la criticità dei servizi forniti e l’accesso dei fornitori ai sistemi dell’entità.
• Prioritizzazione: Identificando e dando priorità ai rischi associati ai diversi fornitori, le entità possono allocare efficacemente le risorse per mitigare le minacce più significative.

Valutazioni del Rischio Coordinate

• Valutazioni a Livello UE: La direttiva prevede valutazioni coordinate della sicurezza delle catene di fornitura critiche a livello dell’UE. Queste valutazioni, condotte in collaborazione con gli Stati membri ed ENISA, mirano a identificare rischi e dipendenze sistemiche che potrebbero influenzare multiple entità o settori.
• Decisioni Politiche Informate: I risultati di queste valutazioni aiutano a informare le decisioni politiche e lo sviluppo di linee guida per migliorare la sicurezza della catena di fornitura in tutta l’UE.

Gestione e Divulgazione delle Vulnerabilità

• Divulgazione Coordinata delle Vulnerabilità: La NIS2 introduce un quadro per la divulgazione coordinata delle vulnerabilità, incoraggiando le entità a segnalare le vulnerabilità nei prodotti e servizi ICT a un CSIRT nazionale designato o ai fornitori interessati.
• Ruolo dei CSIRT: Gli Stati membri devono designare un CSIRT nazionale per agire come intermediario affidabile nei processi di divulgazione delle vulnerabilità, facilitando la comunicazione tra entità e fornitori per garantire che le vulnerabilità siano affrontate tempestivamente.
• Database Europeo delle Vulnerabilità: ENISA è incaricata di stabilire e mantenere un database europeo delle vulnerabilità, che raccoglie e condivide informazioni sulle vulnerabilità, migliorando la trasparenza e la consapevolezza tra entità e fornitori.

Condivisione delle Informazioni e Cooperazione

• Sforzi Collaborativi: La direttiva incoraggia le entità a impegnarsi in attività di condivisione delle informazioni, incluso con i loro fornitori e prestatori di servizi. Questo approccio collaborativo mira a migliorare la consapevolezza collettiva delle minacce di cibersicurezza e delle migliori pratiche.
• Comunità Affidabili: Partecipando a comunità di condivisione delle informazioni affidabili, le entità possono ricevere aggiornamenti tempestivi su minacce emergenti che possono influenzare le loro catene di fornitura.

Requisiti di Cibersicurezza negli Appalti

• Inclusione della Sicurezza nei Contratti: Le entità sono incoraggiate a incorporare requisiti di cibersicurezza negli accordi contrattuali con i fornitori. Ciò può comportare l’impostazione di standard di sicurezza, la richiesta di conformità a specifiche certificazioni o la stipulazione di obblighi di segnalazione degli incidenti. Per le organizzazioni che devono strutturare questo processo, avviare un percorso strutturato di adeguamento alla NIS2 aiuta a tradurre questi obblighi in azioni concrete e documentabili.
• Due Diligence: Prima di coinvolgere i fornitori, le entità dovrebbero eseguire una due diligence per valutare la loro postura di cibersicurezza, assicurandosi che i fornitori soddisfino i criteri di sicurezza necessari.

Consapevolezza e Formazione

• Consapevolezza nella Catena di Fornitura: Le entità devono promuovere la consapevolezza della cibersicurezza non solo all’interno della loro organizzazione ma anche lungo le loro catene di fornitura. Ciò include fornire linee guida e formazione ai fornitori sulle aspettative e pratiche di sicurezza.

Vigilanza Regolatoria

• Autorità di Supervisione: Le autorità competenti nazionali hanno il potere di supervisionare la conformità delle entità agli obblighi di sicurezza della catena di fornitura, incluso condurre audit e ispezioni relative alle pratiche della catena di fornitura. In Italia, ACN gestisce l’elenco dei soggetti NIS2 e le scadenze di conformità.
• Misure di Esecuzione: La mancata adeguata gestione dei rischi di cibersicurezza nella catena di fornitura può comportare azioni di esecuzione, incluse sanzioni amministrative.

Attraverso l’incorporazione di queste misure, la Direttiva NIS2 mira a rafforzare la postura generale di cibersicurezza delle entità essenziali e importanti assicurando che i rischi della catena di fornitura siano gestiti efficacemente. La direttiva promuove una cultura della sicurezza che si estende oltre le singole organizzazioni per comprendere l’intera catena di fornitura, riconoscendo che la cibersicurezza è una responsabilità condivisa in un ecosistema digitale interconnesso. Per consultare il testo integrale, è disponibile il documento ufficiale della Direttiva NIS2.

Domande frequenti sulla sicurezza della catena di fornitura nella NIS2

• Quali fornitori rientrano nell’ambito degli obblighi NIS2 sulla supply chain?
• La direttiva non fissa una soglia dimensionale per i fornitori, ma richiede alle entità essenziali e importanti di valutare tutti i fornitori e prestatori di servizi che hanno accesso ai loro sistemi o che gestiscono dati sensibili. La priorità va ai fornitori critici per la continuità operativa o per la sicurezza delle informazioni.
• Come si dimostra la conformità agli obblighi di sicurezza della catena di fornitura?
• Le entità devono documentare le valutazioni del rischio sui fornitori, i requisiti di sicurezza inseriti nei contratti e le attività di due diligence svolte. Le autorità competenti possono richiedere questa documentazione in sede di audit o ispezione.
• Cosa succede se un fornitore non rispetta i requisiti di sicurezza richiesti?
• L’entità soggetta alla NIS2 rimane responsabile della propria postura di sicurezza anche in caso di inadempienza del fornitore. Può essere necessario rivedere il contratto, richiedere misure correttive o, nei casi più gravi, interrompere il rapporto con il fornitore per ridurre l’esposizione al rischio.