Notifica incidenti e sicurezza dei fornitori

Se dovessi indicare i due punti dove si gioca davvero un adeguamento NIS2, non sarebbero l'antivirus o il firewall. Sarebbero questi due: la capacità di accorgersi di un incidente e notificarlo nei tempi corretti, e il controllo su chi, lungo la catena dei fornitori, ha accesso ai sistemi aziendali.

Sulla carta, tre giorni sembrano tanti. Nella pratica di un incidente reale, con sistemi da isolare, log da raccogliere e magari un consulente forense da contattare, spariscono in fretta. La maggior parte delle aziende con cui parlo non ha un piano scritto che dica con precisione chi alza il telefono, con quali informazioni in mano e verso chi, quando qualcosa va storto alle tre di notte di un sabato. Il piano di incident response non è un documento da tenere in un cassetto: va scritto, assegnato per ruoli, e idealmente testato almeno una volta con una simulazione.

La supply chain è diventata il punto debole preferito di chi attacca, per un motivo semplice: è quasi sempre più facile entrare da un fornitore piccolo e poco protetto che forzare un'azienda strutturata. La NIS2 lo riconosce esplicitamente e chiede ai soggetti obbligati di valutare la postura di sicurezza dei propri fornitori critici, in particolare di quelli con accesso a sistemi o dati sensibili: cloud provider, gestionali, MSP, fornitori di sviluppo software.

In pratica significa tre cose. Primo, mappare i fornitori che hanno accesso a sistemi critici, non solo quelli con il fatturato più alto. Secondo, introdurre criteri di valutazione della sicurezza in fase di selezione, non solo di prezzo. Terzo, e qui la maggior parte delle aziende si ferma, riscrivere i contratti di fornitura con clausole specifiche su sicurezza, notifica incidenti e diritto di audit.