Nel mese di aprile 2026 l’Agenzia per la Cybersicurezza Nazionale (ACN) ha emanato due rilevanti Determinazioni (n. 127437/2026 e n. 127434/2026), completando il quadro normativo avviato con il Decreto Legislativo n. 138/2024 in base alla Direttiva NIS2 (Network and Information Security Directive 2). Questo contesto legale introduce una novità cruciale per le organizzazioni sottoposte al regime NIS: il concetto di fornitori rilevanti e di non fungibilità, che richiede alle aziende di censire e gestire in modo efficace le proprie dipendenze critiche.
Il concetto di fornitori rilevanti NIS
Le nuove Determinazioni ACN definiscono una serie di criteri per valutare quali fornitori di terze parti siano ritenuti “rilevanti” ai fini della cybersicurezza. Un fornitore diventa “rilevante” quando la sua attività o la sua piattaforma rappresentano una componente critica per l’esercizio delle funzioni operative principali dell’organizzazione. Questi fornitori spesso rappresentano una debolezza sistemica per l’azienda: un attacco a livello della catena di fornitura può compromettere l’intero business.
Un esempio classico è una piattaforma di gestione della catena di forniture che un’azienda manufatturiera utilizza per monitorare in tempo reale la produzione e i flussi logistici. Se questa piattaforma non ha misure di sicurezza sufficienti, essa diventa un punto vulnerabile per eventuali cyber attacchi. La Determinazione ACN richiede quindi che le aziende mappino tutte queste relazioni critiche e siano in grado di dimostrare una solida governance della supply chain.
Criterio della non fungibilità
Un elemento innovativo è la nozione di “non fungibilità”, un concetto che si riferisce ai fornitori senza alternative disponibili: in pratica, aziende senza cui non si riesce più ad operare. Questo scenario genera un rischio particolarmente elevato. Ad esempio, alcune aziende nel settore farmaceutico o manifatturiero dipendono da fornitori specializzati che gestiscono processi di produzione unici, non replicabili in breve tempo né in maniera economica.
La normativa spinge le aziende a non solo identificare questi fornitori, ma anche a valutare se esistano alternative operative, se i fornitori siano sufficientemente resilienti ai rischi e se, in assenza delle prestazioni fornite, si sarebbe in grado di garantire la continuità dell’azienda. Questo spinge le aziende verso una maggiore diversificazione dei fornitori e una ridurre l’effetto “hub and spoke”, dove un unico nodo centrale gestisce molteplici funzioni.
Pianificazione con Business Impact Analysis
Per rispondere a queste nuove sfide, le organizzazioni dovrebbero adottare metodologie come la Business Impact Analysis (BIA), che consente di identificare, classificare e valutare l’impatto di un’interruzione operativa. Attraverso un’analisi quantitativa e qualitativa, le aziende possono stabilire priorità per il ripristino del business in caso di incidente cyber.
- Riconoscimento del business-critical: Identificare le attività che sono fondamentali per il funzionamento aziendale.
- Analisi della resilienza: Valutare se si riescono a tollerare interruzioni prolungate o se il business è a rischio di stop completo.
- Pianificazione del ripristino: Creare piani per il ripristino delle funzioni critiche, in coordinamento con i fornitori rilevanti.
Implementazione pratica
Per implementare efficacemente le nuove disposizioni, le aziende dovrebbero integrare la gestione del rischio nella governance della supply chain. Questo comporta l’aggiornamento periodico del registro dei fornitori in chiave cyber, la valutazione continua della loro posizione vulnerabile e la firma di accordi chiari con clausole di sicurezza obbligatorie.
Un esempio pratico è stato osservato in un gruppo industriale che ha applicato una valutazione trimestrale ai fornitori. In base alla mappatura, si è potuto individuare una serie di fornitori rilevanti e implementare misure di mitigazione, come accordi contrattuali più rigorosi, auditing cyber e formazione mirata per il personale chiave.
Benefici e sfide della conformità
La piena conformità alle Determinazioni ACN offre notevoli vantaggi, tra cui una maggiore resistenza alle minacce cyber, la riduzione del rischio operativo, e una migliore percezione del mercato e del pubblico. Tuttavia non mancano le sfide: l’analisi richiede risorse, tempo e una comprensione approfondita del risk landscape aziendale.
Sebbene l’onere di conformità possa sembrare oneroso, le soluzioni esistono. Si può iniziare con l’applicazione di software di mappatura fornitori, la collaborazione con consulenti specializzati e l’integrazione di metodi di valutazione continua del rischio.
Conclusione
Le novità introdotte con le Determinazioni ACN segnano una svolta significativa nella gestione della cybersicurezza. Le aziende non possono più permettersi di trascurare i fornitori rilevanti, in particolare quelli non fungibili. La chiave per sopravvivere ai nuovi rischi cyber sta non solo nella protezione diretta, ma nell’esposizione e nella gestione intelligente della rete estesa del business. Solo attraverso una gestione proattiva e concreta si può preservare la resilienza operativa in un panorama sempre più vulnerabile e interconnesso.