La NIS2 ti chiede di valutare i tuoi fornitori. Sei sicuro che il questionario con cui lo fai abbia valore?
Quasi tutti, per rispondere all’Art. 21(2)(d) sulla supply chain security, fanno la stessa cosa: mandano al fornitore un questionario di autovalutazione all’onboarding, magari lo ripetono una volta l’anno, archiviano le risposte e passano oltre. È un rito di conformità. Non è due diligence.
Ecco il punto che quasi nessuno nomina. Un questionario compilato dal fornitore è una dichiarazione di parte. È il fornitore che si valuta da solo, sulla sua sicurezza, con un evidente conflitto di interesse. Tu non hai verificato nulla: hai archiviato una promessa.
E la NIS2 lo sa. L’Art. 21(3) non chiede se il fornitore dichiara di essere sicuro. Chiede di tenere conto delle “vulnerabilità specifiche di ciascun fornitore” e della “qualità complessiva dei prodotti e delle prassi di cybersecurity”. Non la policy dichiarata. La postura reale.
C’è una distanza enorme tra le due cose:
- Il questionario dice: “abbiamo una policy di patch management”.
- La realtà dice: tre servizi esposti su internet con CVE critiche aperte da otto mesi.
Il questionario non vede la seconda. Per definizione: chiede al fornitore di descriversi, non misura.
Il momento in cui questo gap diventa visibile è il peggiore possibile: dopo l’incidente. Quando un tuo fornitore viene compromesso e l’attacco arriva fino a te, l’autorità non ti chiede se avevi un questionario in archivio. Ti chiede se hai esercitato una diligenza proporzionata al rischio. E un faldone di autodichiarazioni non verificate dimostra l’opposto: che ti sei fidato senza controllare.
Il faldone non ti protegge. Documenta la tua negligenza.
La supply chain security, secondo gli stessi supervisori, è la misura dell’Art. 21 più diffusamente sotto-implementata, e un focus tematico crescente per le verifiche del 2026.
La domanda da farsi non è “ho fatto compilare il questionario?”. È: so cosa fa davvero il perimetro esposto dei miei fornitori critici, oggi, senza chiederlo a loro?
Se la risposta dipende da ciò che il fornitore ti racconta di sé, non stai gestendo il rischio. Lo stai delegando proprio a chi quel rischio lo rappresenta.
Pubblicato originariamente su LinkedIn.