Registro Fornitori NIS2 — Supply Chain Security per PMI Italiane: Criteri, Azioni e Strumenti Operativi

Hai mai pensato a cosa succederebbe se il fornitore del tuo software di fatturazione venisse violato? O se il plugin di terze parti del tuo e-commerce introducesse una backdoor? Noi, di Meteora Web, abbiamo visto clienti arrivare con il sito infetto proprio per questo: un componente esterno non aggiornato, un fornitore senza controlli. La NIS2 lo sa bene e per questo introduce un obbligo preciso: il registro dei fornitori nella supply chain security. Non è burocrazia fine a se stessa: è protezione del tuo fatturato e della tua continuità operativa.

Questa guida ti mostra come allinearti senza impazzire, partendo dal problema concreto della tua azienda. Niente teoria astratta: solo ciò che serve per mettere in sicurezza la catena di fornitura digitale.

Cos'è il registro dei fornitori nella NIS2?

Il registro dei fornitori è l'inventario ragionato di tutti i soggetti terzi che forniscono beni, servizi o software essenziali per la tua attività. La direttiva NIS2 (recepita in Italia con il Decreto Legislativo 138/2024, in vigore dal 2025) chiede alle aziende considerate “entità essenziali” o “importanti” di mappare, valutare e monitorare i rischi della supply chain digitale.

Non basta una lista di nomi e indirizzi. Il registro deve contenere per ogni fornitore:

• Categoria del servizio (cloud, software, connettività, manutenzione, ecc.)
• Criticità: impatto sul servizio essenziale se il fornitore viene compromesso
• Certificazioni di sicurezza possedute (ISO 27001, SOC 2, Cyber Essentials)
• Data dell'ultima valutazione del rischio
• Clausole contrattuali di cybersecurity e diritto di audit
• Stato delle verifiche periodiche (report penetration test, vulnerability scan)

Noi lo trattiamo come un asset di bilancio: un fornitore non sicuro è un costo nascosto. Lo abbiamo imparato gestendo l'ERP di un negozio di abbigliamento — un modulo magazzino sbagliato bloccava le stagioni. Qui il danno può essere molto più grave.

Quali fornitori devono essere inseriti nel registro?

Non tutti i fornitori vanno inseriti. La NIS2 parla di “relazioni contrattuali” che possono incidere sulla sicurezza dei servizi essenziali. In pratica, devi includere:

• Fornitori di servizi cloud (AWS, Azure, Google Cloud, o anche piccoli provider hosting)
• Fornitori di software critico (ERP, CRM, sistemi di pagamento, piattaforme e-commerce)
• Fornitori di connettività (ISP, CDN, DNS)
• Subappaltatori IT (sviluppatori esterni, manutentori, consulenti con accesso ai sistemi)
• Fornitori di hardware con firmware aggiornabile (router, firewall, server)
• Eventuali partner di integrazione che gestiscono dati sensibili.

Esclusione tipica: il fornitore di cancelleria o il servizio di pulizie — a meno che non abbiano accesso fisico ai tuoi locali IT. In quel caso, valutali.

Una buona regola pratica: se il fornitore ha accesso a dati, log, server o reti, va inserito. Se può causare un'interruzione del servizio essenziale, va inserito.

Come si valuta il rischio di un fornitore?

La valutazione del rischio non è un esame universitario: è un processo pratico. Noi lo suddividiamo in tre fasi:

1. Classificazione per impatto

Assegna a ogni fornitore un livello (Basso, Medio, Alto) basato su:

• Quanto sarebbe critica l'interruzione del suo servizio per la tua continuità
• Quali dati tratta (dati personali, segreti industriali, pagamenti)
• Quanto è esposto a minacce (cloud pubblico vs on-premises, dimensioni del fornitore)

2. Raccolta oggettiva di informazioni

Non chiedere al fornitore “quanto sei sicuro?”. Verifica:

• Certificazioni di sicurezza (ISO 27001, SOC 2 Type II)
• Report di pen test recenti (non più di 12 mesi)
• Bug bounty program o vulnerability disclosure policy
• Tempo medio di risposta agli incidenti (MTTR)
• Presenza in registro trattamenti GDPR (se tratta dati UE)

Un'azione concreta che puoi fare subito: controlla il certificato TLS dei tuoi fornitori con un semplice comando. Se non usano HTTPS, sono già un rischio.

# Verifica versione TLS e validità del certificato di un fornitore
curl -vI https://fornitore.it 2>&1 | grep -E 'SSL|TLS|certificate|expire'

Un TLS 1.2 o superiore è il minimo. Se il fornitore usa ancora TLS 1.0, alzalo subito come bandiera rossa.

3. Punteggio di rischio normalizzato

Crea una scala (es. 1-10) moltiplicando impatto × probabilità. Definisci una soglia oltre la quale il fornitore deve essere sostituito o richiedere un piano di remediation.

Quali sono gli obblighi contrattuali minimi?

Il registro da solo non basta: ogni fornitore critico deve avere un contratto che includa clausole di cybersecurity. Ecco cosa non deve mancare:

• Diritto di audit: puoi chiedere evidenze di sicurezza in qualsiasi momento (con preavviso ragionevole)
• Obbligo di notifica degli incidenti: il fornitore deve informarti entro 24 ore se subisce un attacco che potrebbe impattare il tuo servizio
• Requisiti minimi di sicurezza: crittografia, backup, gestione patch, autenticazione a più fattori
• Clausola di subappalto: il fornitore non può delegare a terzi senza la tua approvazione
• Piano di continuità operativa (BCP) del fornitore per garantire il servizio durante un incidente
• Conseguenze per inadempienza: penali, diritto di recesso, esclusione dal registro

Noi abbiamo inserito queste clausole nei contratti dei nostri clienti con software house e fornitori cloud. In un caso, il diritto di audit ha permesso di scoprire che un fornitore di hosting non faceva backup da 6 mesi. Lo abbiamo sostituito prima che fosse troppo tardi.

Come gestire il registro nella pratica?

Un registro cartaceo o in Excel va bene per iniziare, ma se sei un'entità NIS2 devi dimostrare di avere un processo aggiornabile e tracciabile.

Strumenti consigliati

• Un foglio di calcolo (Google Sheets o Excel) condiviso con il team IT e compliance: colonne per fornitore, servizio, criticità, data valutazione, prossimo audit.
• Un sistema di ticketing (Jira, Trello) per gestire le scadenze di rinnovo valutazione.
• Un database semplice (SQLite, Airtable) per query e report.

Ecco un esempio di struttura JSON per un registro automatizzabile:

[
  {
    "fornitore": "CloudHost SPA",
    "servizio": "Hosting VPS",
    "criticita": "Alta",
    "certificazioni": ["ISO 27001", "SOC 2"],
    "ultima_valutazione": "2025-06-01",
    "prossima_valutazione": "2026-06-01",
    "esito": "Pass",
    "note": "Richiesto pen test annuale — ricevuto report 2024 ok"
  }
]

Puoi usare questo JSON per alimentare un piccolo strumento interno o un plugin WordPress (noi abbiamo sviluppato un modulo personalizzato per un cliente con Laravel).

Frequenza delle valutazioni

I fornitori classificati “Alto” vanno valutati almeno ogni 12 mesi. “Medio” ogni 18 mesi. “Basso” ogni 24 mesi. E in ogni caso dopo un incidente di sicurezza noto del fornitore.

Un errore comune: dimenticare di aggiornare il registro dopo un cambio di fornitore. Noi consigliamo di legare il registro al processo di procurement: quando acquisti un nuovo servizio, il modulo di acquisizione include un campo “ID fornitore nel registro”. Se non c'è, non si attiva la fornitura.

Cosa fare adesso

Non devi implementare tutto in una settimana. Segui queste 5 azioni nell'ordine:

1. Mappa i fornitori critici — elenca tutti quelli che hanno accesso a dati, log, server o reti. Fallo con il tuo IT e il commerciale.
2. Classifica ogni fornitore per impatto (Alto, Medio, Basso) usando la tabella di cui sopra.
3. Raccogli le evidenze di sicurezza per ogni fornitore Alto: certificazioni, report, policy. Usa il comando curl per una verifica rapida TLS.
4. Integra le clausole contrattuali — richiedi diritto di audit, notifica incidenti, MFA. Se il fornitore rifiuta, cerchi un'alternativa.
5. Documenta e programma le revisioni periodiche nel tuo calendario. Fissa la prossima data per ogni fornitore.

Se vuoi approfondire come applicare la NIS2 a tutta la tua azienda, leggi la nostra guida pillar NIS2 — copre ambito, sanzioni e roadmap completa.

Noi di Meteora Web aiutiamo le PMI a mettere in sicurezza la supply chain con strumenti concreti, senza vendere fumo. Se hai bisogno di una mano per impostare il registro o per un audit dei tuoi fornitori, contattaci. La sicurezza digitale è come la contabilità: se non la tieni in ordine, prima o poi arriva la multa — o peggio, il danno.