Il questionario arriva prima del contratto
Molti committenti chiedono ai fornitori di compilare questionari di sicurezza e di allegare evidenze tecniche prima di firmare.
NIS2 · Sicurezza della catena di fornitura · Da €490
NIS2 e sicurezza dei fornitori: una verifica documentata da consegnare
La direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, chiede alle organizzazioni di gestire il rischio cyber, anche attraverso la sicurezza della propria catena di fornitura (art. 21). Ti aiutiamo a produrre la prova tecnica che il committente o l'ente chiede: un test, un report e un'attestazione firmata.
Cosa chiede la NIS2, in pratica
La direttiva non indica un singolo test. Chiede di adottare misure tecniche e organizzative proporzionate al rischio, e di poterne dimostrare l'efficacia. Tra queste misure rientrano la gestione delle vulnerabilità, la sicurezza dei sistemi che acquisiscono o sviluppano, e la sicurezza della catena di fornitura.
Per un soggetto NIS2 questo significa poter dire, con prove: quali sistemi esposti ha, come li verifica, come gestisce le vulnerabilità trovate e come controlla i propri fornitori. Il penetration test e il vulnerability assessment producono proprio queste prove, per la parte tecnica.
Perché la catena di fornitura diventa un problema
Un soggetto NIS2 è responsabile anche di ciò che i suoi fornitori mettono online per suo conto. Un'applicazione sviluppata da un'agenzia, un portale gestito da un partner, un servizio di pagamento integrato: se hanno una vulnerabilità, il committente se ne fa carico.
La verifica diventa un requisito
Nei capitolati e nei rinnovi, la richiesta di una verifica di sicurezza documentata è sempre più frequente.
Un incidente sul fornitore è un incidente tuo
Per il committente, la responsabilità resta sua anche quando il sistema vulnerabile è gestito da terzi.
La prova deve essere datata e ripetibile
Un'attestazione vecchia di due anni, su un sistema cambiato, non dimostra nulla. Per questo serve un ciclo.
Cosa copre la nostra verifica, e cosa no
Per una verifica credibile servono confini chiari. Sono gli stessi che un committente attento chiederà.
Copre: superfici web esposte
Siti e applicazioni pubbliche del perimetro autorizzato, con penetration test e validazione manuale delle vulnerabilità.
Copre: configurazione e componenti
Versioni dei componenti, configurazioni, intestazioni di sicurezza e informazioni esposte, con il riscontro delle vulnerabilità pubblicate.
Non copre: il sistema di gestione
Analisi dei rischi, policy, ruoli, formazione e governance non rientrano nel test. Sono le altre misure che la NIS2 richiede.
Non copre: test interni e infrastrutture
Reti interne, segmentazione e infrastrutture cloud sono servizi separati, da concordare su preventivo.
Chi ha bisogno di questa verifica
Tre situazioni ricorrenti, con esigenze diverse.
Il soggetto NIS2
Deve dimostrare controlli sui propri sistemi esposti e sulla gestione delle vulnerabilità. Il report è una delle evidenze del suo sistema di gestione del rischio.
Il fornitore di un soggetto NIS2
Riceve questionari di sicurezza e richieste di verifica dal cliente. Un report firmato e datato accelera la risposta e riduce le domande di follow-up.
Chi partecipa a una gara o a un rinnovo
Il capitolato chiede una verifica documentata come requisito. La lettera firmata è la prova che il requisito è soddisfatto alla data dell'offerta.
Come si prepara una verifica per la catena di fornitura
Il percorso tipico, dal primo contatto alla prova consegnata.
1. Definire il perimetro
Si identifica quali sistemi del fornitore servono al committente: di solito il portale, l'applicazione o l'API che trattano i suoi dati o i suoi servizi.
2. Scegliere il livello di prova
Un vulnerability assessment per la copertura, un penetration test per le applicazioni critiche, o entrambi nello stesso ciclo.
3. Eseguire e documentare
Il test si svolge con autorizzazione scritta. Il report documenta metodo, date, esiti e piano correttivo.
4. Correggere e riverificare
Le vulnerabilità corrette vengono riverificate. La prova finale mostra lo stato dopo le correzioni, non solo il problema iniziale.
Cosa rispondere ai questionari, in modo onesto
Il report non risponde da solo a un questionario, ma fornisce i dati per farlo con precisione.
- Quando è stato eseguito l'ultimo test, con quale perimetro e metodo.
- Quante vulnerabilità sono emerse per gravità, e quante risultano chiuse dopo il retest.
- Quale processo governa le correzioni: priorità, responsabili, tempi.
- Quando è programmato il prossimo ciclo di verifica.
Non dichiarare conformità alla NIS2 sulla base del solo test. È una prova tecnica, da inserire in un quadro più ampio.
Quanto costa
Il piano Perimetro singolo costa €490 una tantum, IVA esclusa, per un dominio principale con i suoi sottodomini. Per soggetti NIS2 e perimetri estesi, il piano Enterprise parte da €4.900 una tantum, con perimetro concordato per iscritto, NDA e referente dedicato. Il listino completo è nella home.
Domande frequenti su NIS2 e fornitori
Un fornitore di un soggetto NIS2 deve fare un penetration test?
Dipende dal contratto e dal rischio del servizio. Spesso il committente chiede una verifica documentata. Ti aiutiamo a definire il perimetro più utile e il livello di prova adatto.
Il penetration test basta per la NIS2?
No. La NIS2 richiede un insieme di misure di gestione del rischio, dalla governance alla formazione. Il penetration test è una delle prove tecniche che sostengono quelle misure.
Cosa contiene il report per il committente?
Il perimetro testato, il metodo, le date, gli esiti per gravità, le vulnerabilità confermate, il piano di correzione e il retest. Più la lettera di attestazione firmata.
Quanto costa per un fornitore?
Il perimetro singolo costa €490 una tantum, IVA esclusa. Per soggetti NIS2 e perimetri estesi il piano Enterprise parte da €4.900.
Quanto tempo serve per avere la prova?
Il report arriva in 5 giorni lavorativi dalla firma dell'autorizzazione. La riverifica gratuita è inclusa entro 30 giorni.
Serve la verifica se il sistema è ospitato da un terzo?
Dipende da chi gestisce il sistema e da chi ne risponde. Se il fornitore è responsabile del servizio esposto, la verifica si fa sul suo perimetro. Chiariamo il perimetro prima di iniziare.
Con quale frequenza va ripetuta?
Almeno una volta all'anno e dopo modifiche rilevanti. Per i perimetri che cambiano spesso proponiamo cicli programmati ogni 4 o 6 mesi, con confronto tra un ciclo e il precedente.
Ti serve una verifica per un committente o un questionario NIS2?
Scrivici il perimetro: ti diciamo per iscritto cosa serve e cosa verificheremmo, con una proposta su misura.
Richiedi una proposta