La vulnerabilità della catena di fornitura digitale
Nel più recente rapporto NIS360 dell’ENISA è stata inserita una frase che vale più di molti allarmi: “Ogni volta che un’organizzazione si affida a un fornitore, sta implicitamente dando fiducia a chiunque quel fornitore abbia a sua volta scelto”. Questa fiducia si estende a chi costruisce componenti, chi scrive codice e chi ospita dati. La compromissione di un solo anello può propagarsi a interi ecosistemi di settore, generando un rischio sistemico mai sperimentato prima.
I dati dell’agenzia mostrano un forte divario tra dichiarazione e pratica. Il 90 % delle organizzazioni dichiara di avere controlli sulla catena di fornitura, ma solo il 48 % traduce tali controlli in requisiti di cybersecurity scritti nei contratti con i fornitori. Inoltre, il 47 % considera gli attacchi alla supply chain tra le principali preoccupazioni per gli anni a venire.
Esempio emblematico: l’attacco a Collins Aerospace
Nel settembre 2025 un ransomware ha colpito i sistemi di check‑in e imbarco di Collins Aerospace, utilizzati da numerosi aeroporti europei. L’attacco ha bloccato gli aeroporti di Bruxelles, Berlino e Dublino, costringendo le compagnie a gestire l’imbarco manualmente per giorni. L’incidente dimostra come un unico fornitore possa paralizzare più infrastrutture contemporaneamente.
Secondo l’Internet Organised Crime Threat Assessment 2026 di Europol, i gruppi criminali hanno puntato sulla catena di fornitura digitale per moltiplicare la portata degli attacchi: nel 2025 sono stati censiti oltre 120 marchi di ransomware attivi. Un singolo punto debole nella filiera diventa quindi un vettore per numerosi obiettivi finali.
Le risposte normative europee
Le autorità europee hanno iniziato a trasformare la teoria normativa in pratiche di sorveglianza. Il 18 novembre 2025 le tre autorità di vigilanza dell’Unione (EBA, EIOPA ed ESMA) hanno designato i primi diciannove fornitori ICT considerati critici per il sistema finanziario, tra cui Amazon Web Services, Google Cloud, Microsoft, Oracle e Accenture.
Il Regolamento (UE) 2022/2554, noto come DORA, istituisce un quadro di sorveglianza europeo per i fornitori infrastrutturali critici, affrontando il rischio di concentrazione: la dipendenza di migliaia di entità finanziarie da pochi provider cloud rende il guasto di un singolo anello un problema di sistema.
Le direttive chiave
- NIS2 (Direttiva UE 2022/2555, recepita in Italia con D.Lgs. 138/2024): obbliga le organizzazioni a gestire il rischio della catena di approvvigionamento, richiedendo valutazioni specifiche delle vulnerabilità di ogni fornitore diretto e delle sue pratiche di sicurezza, comprese le procedure di sviluppo sicuro del software. Scadenza per le imprese italiane: ottobre 2026.
- DORA: si concentra sui fornitori di infrastrutture critiche, introducendo una sorveglianza a livello europeo e obbligando i fornitori a dimostrare resilienza operativa.
- Cyber Resilience Act (Regolamento UE 2024/2847): impone, per la prima volta, l’inventario obbligatorio dei componenti di un prodotto digitale (Software Bill of Materials) e, a partire dall’11 settembre 2026, la segnalazione obbligatoria delle vulnerabilità attivamente sfruttate.
- GDPR (art. 28): disciplina la relazione con il responsabile del trattamento e i subfornitori, richiedendo garanzie documentate lungo l’intera catena di trattamento dei dati.
Queste norme si completano a vicenda, coprendo tre strati in cui il rischio si annida: governance e contratti (NIS2), infrastruttura critica (DORA) e componenti software (Cyber Resilience Act).
Il ruolo centrale del dato
Europol ha osservato un cambiamento nelle tattiche di estorsione: i gruppi criminali esercitano sempre più pressione sulle vittime minacciando di mantenere riservati i dati sottratti, piuttosto che pubblicarli. Il valore del dato è diventato centrale nell’economia digitale, e la sua fuga dalla filiera può persistere per anni, mantenendo il suo valore per chi lo detiene.
Proteggere il dato riduce la dipendenza dalla postura di sicurezza del fornitore. Se i file sono cifrati e revocabili anche all’interno dei sistemi del terzo, la compromissione del fornitore non si traduce automaticamente nella compromissione dei dati affidati.
Strategie pratiche di mitigazione
- Implementare cifratura end‑to‑end per tutti i dati sensibili, con gestione delle chiavi separata dal provider.
- Richiedere nei contratti la software bill of materials (SBOM) e un piano di risposta alle vulnerabilità per ogni componente.
- Effettuare audit periodici di sicurezza sui fornitori critici, includendo test di penetrazione e valutazioni di conformità a NIS2 e DORA.
- Stabilire clausole di diritto di audit e di rescissione contrattuale in caso di non conformità.
- Adottare soluzioni di monitoraggio continuo del flusso di dati verso e dai fornitori, con alert su anomalie di traffico.
Verso una resilienza integrata
Fino a pochi anni fa la sicurezza della filiera era una voce in calce ai contratti, una casella nella checklist di fornitura. Oggi, grazie a un supervisore europeo, a obblighi di inventario dei componenti e a scadenze nazionali, il perimetro di difesa si è moltiplicato in tanti perimetri quanti sono i fornitori.
Finché la protezione rimane una proprietà dei sistemi, ogni nuovo anello aggiunto alla catena incrementa la superficie di attacco e il numero di contratti da far rispettare. La resilienza richiesta da NIS2, DORA e dal Cyber Resilience Act deve essere costruita a un livello più basso, sul dato, e spostarsi con esso lungo l’intera filiera.
In sintesi, le organizzazioni devono trasformare la fiducia in una verifica documentata, integrare i requisiti normativi nei propri processi di procurement e adottare una strategia di cifratura e monitoraggio continuo. Solo così sarà possibile anticipare la compromissione di un fornitore prima che questa si traduca in un danno reale per l’impresa.