L'anello più debole della catena
Nell'ENISA Threat Landscape 2025, che analizza 4.875 incidenti tra il 1 luglio 2024 e il 30 giugno 2025, i rischi di supply chain pesano per il 10,6% delle categorie di minaccia rilevate: una quota minoritaria sul totale, ma con un effetto moltiplicatore che nessun altro vettore ha. L'attacco a SolarWinds nel 2020 è stato l'inizio; oggi il supply chain attack è diventato la tecnica preferita dai gruppi APT e dalle gang ransomware.
Come funziona un attacco supply chain
L'attaccante non colpisce voi direttamente. Compromette un vostro fornitore (il provider di posta, il software gestionale, l'azienda di manutenzione IT) e da lì entra nella vostra rete. Esempi recenti:
- MOVEit (2023): il gruppo Cl0p ha sfruttato una vulnerabilità nel software di file transfer usato da migliaia di aziende. Oltre 2.600 organizzazioni colpite.
- 3CX (2023): il software VoIP compromesso ha distribuito malware a centinaia di migliaia di endpoint attraverso un aggiornamento ufficiale.
- Kaseya (2021): il gruppo REvil ha usato il software di gestione remota per distribuire ransomware a 1.500 aziende in un colpo solo.
Cosa chiede la NIS2
L'Art. 21(2)(d) della NIS2 è esplicito: i soggetti devono garantire la "sicurezza della catena di approvvigionamento", incluse le vulnerabilità specifiche di ciascun fornitore diretto. In pratica significa:
- Mantenere un registro dei fornitori critici con valutazione del rischio
- Inserire clausole di sicurezza nei contratti (requisiti minimi, notifica breach, diritto di audit)
- Verificare che i fornitori IT abbiano certificazioni o misure adeguate
- Avere un piano B per ogni fornitore critico
La valutazione pratica dei fornitori
Non serve mandare questionari da 200 domande. Un assessment efficace per PMI si basa su 5 criteri chiave:
- Certificazioni: ISO 27001, SOC 2, o equivalenti
- Gestione accessi: MFA, principio del minimo privilegio, logging
- Incident response: hanno una procedura? Hanno subito breach recenti?
- Backup e DR: possono garantire la continuità del servizio?
- Patch management: in quanto tempo applicano patch critiche?
Il caso italiano
Secondo il Cyber Index PMI 2025, la dimensione più debole resta l'identificazione (mappatura degli asset e valutazione strutturata dei rischi), ferma a 47 punti su 100 a fronte di un indice complessivo di 55, e solo il 16% delle imprese rientra nella fascia matura. La valutazione dei fornitori cade esattamente dentro questo vuoto: è una delle aree dove la NIS2 avrà l'impatto maggiore, perché è un controllo facilmente verificabile in audit.
La supply chain security non è un optional: è il primo controllo che un auditor NIS2 andrà a verificare. Iniziate mappando i vostri 5 fornitori IT più critici e valutandoli con i criteri sopra. Piattaforme di threat intelligence come Valta permettono di monitorare in tempo reale se uno dei vostri fornitori è stato compromesso. Per un approccio metodologico completo, il percorso Blueprint include template e procedure specifiche per la gestione della supply chain.