La sezione FAQ di ACN dedicata alle misure di sicurezza e alla notifica degli incidenti raccoglie i chiarimenti operativi per i soggetti NIS. Gli aggiornamenti sulla supply chain precisano come valutare le forniture e applicare i requisiti di sicurezza in modo proporzionato.
Le quattro fasi per la sicurezza della supply chain NIS 2
La FAQ MSB.13 chiarisce le quattro fasi che i soggetti NIS devono seguire:
- Valutazione del rischio associato alla fornitura. I criteri minimi da considerare sono elencati nella FAQ MSB.14.
- Identificazione dei requisiti di sicurezza, coerenti con le misure applicate ai propri sistemi informativi e di rete. Su questo punto, la FAQ MSB.15 chiarisce che i requisiti non devono essere definiti per tutte le forniture, ma solo per quelle con potenziali impatti sulla sicurezza.
- Enforcement dei requisiti, cioè il loro inserimento e la loro applicazione nelle richieste di offerta, nei bandi di gara, nei contratti, negli accordi e nelle convenzioni relativi alle forniture con potenziali impatti sulla sicurezza dei sistemi informativi e di rete. La FAQ MSB.16 precisa che non è necessario inserire tutti i requisiti previsti dalle misure di sicurezza di base, né riportarne fedelmente il testo: è sufficiente recepirne il contenuto sostanziale.
- Verifica periodica della conformità ai requisiti di sicurezza individuati.
Le FAQ confermano quindi un processo basato sulla valutazione della specifica fornitura, e non sull’applicazione indistinta degli stessi obblighi a tutti i fornitori.
Il principio di proporzionalità
La FAQ MSB.17 chiarisce che l’applicazione delle categorie di misure indicate dall’articolo 24 del decreto NIS deve essere modulata, fino all’eventuale esclusione di alcune di esse, in funzione del contesto operativo, del livello di rischio e della criticità dei servizi del soggetto NIS, nel rispetto del principio di proporzionalità richiamato dallo stesso decreto.
Non si tratta, quindi, di trasferire automaticamente al fornitore tutte le misure applicabili al soggetto NIS. I requisiti devono essere selezionati e adattati in relazione al rischio concretamente associato alla fornitura.
RTI e contratti misti
La FAQ MSB.18 evidenzia che, nei casi in cui l’operatore economico aggiudicatario sia costituito in forma di RTI, le misure di sicurezza devono essere soddisfatte dai soli componenti che erogano, anche parzialmente, la prestazione contrattuale con impatti sulla sicurezza informatica.
Infine, la FAQ MSB.19 precisa che, anche con riferimento ai contratti misti, l’applicazione dei requisiti di sicurezza deve essere modulata tenendo conto di proporzionalità, pertinenza e adeguatezza rispetto alle specifiche prestazioni affidate, evitando l’imposizione generalizzata di obblighi non coerenti con il rischio di cybersicurezza concretamente rilevabile.
Fornitori di materie prime strategiche: conta l’impatto cyber
Un punto su cui vale la pena soffermarsi riguarda i fornitori di materie prime strategiche.
Circola la convinzione che un fornitore critico per la produzione debba comunque ricevere un annex di sicurezza NIS 2. La lettura combinata delle FAQ porta invece a una conclusione diversa: la soglia fissata da ACN è tecnica, non meramente produttiva.
Rileva se la compromissione della fornitura può avere effetti sui sistemi informativi e di rete, non il solo fatto che il suo venir meno possa fermare lo stabilimento.
La FAQ MSB.8 definisce infatti le forniture con potenziali impatti come quelle la cui compromissione può avere effetti sulla capacità dei sistemi informativi e di rete di resistere a eventi che ne compromettano la disponibilità, l’autenticità, l’integrità o la riservatezza.
In pratica, la criticità produttiva del fornitore resta un elemento importante per la continuità operativa, ma non basta da sola a determinare l’applicazione dei requisiti di sicurezza NIS 2 previsti per la supply chain. Occorre valutare e documentare il potenziale impatto cyber della specifica fornitura. Questa conclusione deriva dalla lettura congiunta dei criteri indicati nelle FAQ ACN.
