26 Ago Il fornitore critico non si scopre, si dimostra: rischio e continuità nella NIS 2
In sintesi: la NIS 2 non si esaurisce in un adempimento formale. Governare i fornitori critici e garantire la continuità operativa significa costruire una valutazione del rischio motivata, tracciabile e aggiornata nel tempo – non una mappa scattata una volta e archiviata.
Perché il rischio fornitori si governa nel tempo
La logica operativa della NIS 2 non chiede una fotografia statica delle dipendenze, ma una rappresentazione viva. Le indicazioni dell’Agenzia per la Cybersicurezza Nazionale e il Framework Nazionale per la Cybersecurity e la Data Protection non impongono in modo esplicito una mappatura dinamica, eppure leggendo insieme sottocategorie e requisiti operativi il senso emerge con chiarezza: le dipendenze devono essere coerenti con la realtà e utilizzabili per decidere. La sottocategoria GV.OC-04 richiede di identificare sistemi e risorse che supportano i servizi essenziali – un passaggio che ha senso solo se riflette la configurazione effettiva dell’organizzazione. Quando cambiano servizi, architetture o risorse sottostanti, quella rappresentazione va aggiornata di conseguenza. Una mappa delle dipendenze ferma nel tempo è, di fatto, una mappa già sbagliata.
Quando un fornitore diventa “critico”
La criticità non è una qualità oggettiva del fornitore: è il risultato di un ragionamento. Un fornitore diventa critico solo dentro una valutazione che tiene insieme tre elementi – l’impatto sul servizio in caso di interruzione, la probabilità che quell’interruzione si verifichi e la possibilità concreta di sostituirlo. I requisiti operativi dedicati alla supply chain (GV.SC-01, 02, 04, 05 e 07) spingono esattamente in questa direzione: non basta una classificazione formale, serve una valutazione motivata e tracciabile, in grado di reggere a una verifica successiva. La domanda non è “questo fornitore è importante?”, ma “cosa succede al mio servizio essenziale se viene meno, e quanto velocemente posso reagire?”.
Dalla classificazione alla business continuity
Identificare i fornitori critici è il presupposto, non il traguardo. La continuità operativa è ciò che dà valore alla classificazione: serve a tradurre la conoscenza delle dipendenze in capacità di assorbire l’interruzione. Questo significa definire scenari di indisponibilità del fornitore, tempi di ripristino accettabili e percorsi alternativi – sostituzione, ridondanza, procedure di emergenza. Una valutazione del rischio che non sfocia in piani di continuità testabili resta un esercizio sulla carta. Il filo conduttore della NIS 2 è proprio questo: collegare la mappa delle dipendenze alle decisioni operative che permettono di continuare a erogare il servizio anche quando un anello della catena cede.
Cosa devono fare concretamente le organizzazioni
In sostanza, l’organizzazione deve mantenere viva la conoscenza delle proprie dipendenze, motivare per iscritto perché un fornitore è considerato critico, e dotarsi di piani di continuità coerenti con quella valutazione. Sono tre attività che si alimentano a vicenda e che vanno riviste quando il contesto cambia: nuovo fornitore, nuova architettura, nuovo servizio. È qui che il presidio del rischio di terze parti diventa un processo continuo e non un adempimento una tantum – il terreno su cui si misura la reale resilienza di un’impresa. La conformità si dimostra nel tempo, non nel momento dell’audit.
Il valore di un approccio strutturato al rischio di terze parti
In questo scenario, le organizzazioni hanno bisogno di un approccio che integri governance, risk management e continuità operativa in un unico processo decisionale. Augustas supporta le aziende nell’identificazione e nella valutazione dei fornitori critici, nella definizione di metodologie di classificazione coerenti con i requisiti NIS 2 e nella progettazione di piani di business continuity realmente applicabili. L’obiettivo non è soltanto ridurre il rischio di non conformità, ma rafforzare la capacità dell’impresa di anticipare le vulnerabilità della propria supply chain, gestire le interruzioni e preservare la continuità dei servizi strategici. Perché, in un contesto sempre più interconnesso, la resilienza non dipende esclusivamente dall’organizzazione, ma anche dalla solidità e dal controllo dell’ecosistema di partner e fornitori su cui essa si fonda.
In conclusione
Con la NIS 2 i fornitori critici e la business continuity non sono due voci separate di una checklist, ma le due facce di uno stesso processo di gestione del rischio – vivo, documentato e orientato a decidere.