Catena di fornitura: il requisito che nessuno può chiudere da solo
La NIS2 estende gli obblighi alla catena di approvvigionamento e la Determinazione ACN 127437/2026 ha introdotto l’elencazione dei fornitori rilevanti sulla piattaforma. Il soggetto in scope deve mappare i fornitori, valutarne la criticità, documentare la valutazione e presidiare il rischio di concentrazione.
A chi si rivolge
Soggetti NIS con fornitori critici IT, OT o di servizio; in particolare organizzazioni industriali dove la manutenzione dei sistemi di controllo è esternalizzata.
Il problema
I fornitori davvero critici raramente coincidono con quelli a contratto più alto. Chi esegue manutenzione fisica su PLC e sistemi di controllo, chi gestisce i sistemi di misura, chi ha accesso remoto agli impianti sono spesso assenti dal registro e presenti nel rischio.
Cosa facciamo
- Censimento dei fornitori e individuazione di quelli rilevanti secondo criteri documentati
- Schede di valutazione della sicurezza per fornitore, con classi di criticità
- Determinazione dei tempi di indisponibilità tollerabili per servizio fornito
- Analisi del rischio di concentrazione
- Redazione di clausole contrattuali e allegati tecnici di sicurezza
- Elencazione sulla piattaforma ACN e mantenimento
- Ciclo annuale di riesame
Cosa consegniamo
- Registro fornitori con schede di valutazione
- Criteri e metodologia di classificazione
- Set di clausole contrattuali pronte per gli uffici acquisti e legale
- Elencazione trasmessa, con evidenza
Riferimento normativo
Requisiti di sicurezza della catena di approvvigionamento della Det. ACN 379907/2025; Det. ACN 127437/2026 sull’elencazione dei fornitori rilevanti.
FAQ
Devo far certificare i miei fornitori?
No. Devi valutarli, documentare la valutazione e gestire il rischio residuo in modo proporzionato.
Il fornitore è obbligato a rispondermi?
Non direttamente dalla normativa, ma la relazione contrattuale è la leva. Ed è per questo che ai fornitori conviene attrezzarsi.
Quanti fornitori vanno censiti?
Tutti quelli che supportano servizi essenziali, non solo quelli con il contratto più alto: il criterio è la criticità operativa, non il valore economico della fornitura.