Analisi approfondita sul Third Party Risk Management (TPRM) e la Direttiva NIS2: come gestire la sicurezza dei fornitori cloud e i rischi della supply chain.

Chi risponde se il buco nella sicurezza è di un partner?

Immaginiamo un vendor IT che gestisce un sistema di ticketing per conto di diversi clienti. Il sistema non è protetto adeguatamente e subisce un attacco che espone i log di accesso ai sistemi di 12 diverse aziende. In questo scenario, nessuna delle aziende clienti ha subito un breach diretto nei propri server, ma l'impatto è immediato: il danno reputazionale è concreto e scattano gli obblighi di notifica previsti dall'Articolo 23 della Direttiva NIS2 per tutti i clienti coinvolti.

Questo caso reale evidenzia il nodo centrale della cybersecurity moderna. Quando la falla non è nel proprio codice o nei propri server, ma in quelli di chi ci fornisce un servizio, la responsabilità non scompare. Al contrario, si sposta su un piano di gestione del rischio che molte imprese non hanno ancora strutturato.

La domanda non è più se un fornitore possa essere l'anello debole, ma come l'impresa possa governare questa dipendenza senza che essa diventi un punto di fallimento sistemico.

63%

Il numero è netto e proviene dai dati del 2025: il 63% degli incidenti cyber gravi ha coinvolto almeno un fornitore o un partner terzo. Non si tratta di semplici anomalie, ma di un trend strutturale. Le violazioni che transitano attraverso terze parti presentano caratteristiche peculiari che le rendono più pericolose dei breach diretti: sono più difficili da rilevare, richiedono tempi di mitigazione più lunghi e generano un impatto regolatorio più severo, specialmente sotto l'egida di normative come NIS2, DORA o ISO/IEC 27001:2022.

Analisi strategica: Questo dato indica che l'investimento in sicurezza focalizzato esclusivamente sulle proprie mura è inefficiente. Se il 63% dei rischi gravi entra da "porte laterali", l'allocazione del budget cybersecurity deve spostarsi verso il monitoraggio dell'ecosistema. Il rischio non è più un evento isolato, ma una proprietà della rete di relazioni commerciali di un'azienda.

La fine del perimetro aziendale

L'impresa digitale contemporanea non possiede più confini netti. È immersa in una rete di dipendenze che include software as a service (SaaS), provider cloud, integratori di sistema, partner logistici e consulenti esterni. Questo ecosistema rende il concetto tradizionale di perimetro di sicurezza quasi obsoleto.

I numeri del TPRM Impact Report 2025 di Whistic, basato su interviste a oltre 500 decision-maker di organizzazioni con più di 500 dipendenti, descrivono una complessità fuori controllo. La media aziendale gestisce oggi 286 fornitori, con un incremento del 21% rispetto all'anno precedente. Il risultato è un paradosso: le aziende investono di più, ma sono più esposte. Il 70% delle organizzazioni ha subito una violazione dei dati negli ultimi tre anni e, nel 77% di questi casi, l'origine era riconducibile a una terza parte.

Il costo di questo fallimento è elevato. Secondo il rapporto IBM Cost of a Data Breach 2024, il costo medio di un data breach ha raggiunto i 4,88 milioni di dollari, cifra che aumenta drasticamente se si considerano le sanzioni regolamentari e il danno d'immagine.

Le aziende stanno provando a rispondere assumendo personale dedicato. Nel 2024, le organizzazioni hanno aggiunto in media tre dipendenti full-time alla funzione di Third Party Risk Management (TPRM), con un costo medio di 109.000 dollari a testa. Tuttavia, lo sforzo sembra insufficiente: il 94% dei responsabili dichiara di non riuscire a valutare tutti i fornitori desiderati, nonostante il tempo dedicato agli assessment sia salito a 37,4 ore settimanali.

Aldo Guzzo e l'architettura della compliance

In questo scenario di complessità crescente, la figura del Responsabile Compliance diventa centrale per tradurre i requisiti tecnici in obblighi giuridici. Aldo Guzzo, Responsabile Compliance di SeeWeb, osserva come la Direttiva NIS2 stia ridefinendo l'intero ecosistema della supply chain. Secondo Guzzo, stiamo assistendo a una trasformazione in cui la sicurezza smette di essere un'opzione tecnologica per diventare un obbligo giuridico.

L'analisi di Guzzo pone l'accento sul ruolo dei cloud provider, definiti come critical third party e AI inference provider. Poiché la maggior parte dei workload critici poggia su queste infrastrutture, la capacità dei data center di garantire disponibilità, integrità e riservatezza dei dati diventa il pilastro della continuità operativa di intere catene di fornitura.

Per Guzzo, la soluzione risiede in una revisione sistemica dell'architettura contrattuale. Non basta più un accordo generico di servizio; servono patti che trasformino le misure NIS in requisiti obbligatori per i partner cloud, integrando la valutazione del rischio come processo continuo e non come semplice check-list iniziale.

Il modello della responsabilità condivisa

Dietro le quinte della gestione dei fornitori cloud opera il principio della shared responsibility. Questo modello delimita chiaramente i ruoli tra il provider e il cliente, ma introduce una distinzione fondamentale tra responsabilità tecnica e accountability.

Il provider cloud è responsabile della sicurezza del cloud (l'infrastruttura, i server, la protezione fisica del data center), mentre il cliente rimane responsabile della sicurezza nel cloud (la configurazione degli accessi, la protezione dei dati caricati, la gestione delle identità). Tuttavia, la Direttiva NIS2 chiarisce un punto cruciale: nonostante la ripartizione dei compiti tecnici, l'accountability finale rimane in capo al management del cliente.

Se un fornitore cloud fallisce in un obbligo di sicurezza, l'azienda cliente non è automaticamente esonerata. Al contrario, è tenuta a dimostrare di aver effettuato una corretta valutazione del rischio del fornitore e di aver implementato misure di mitigazione proporzionate. La compliance, dunque, non è un certificato che si acquista dal fornitore, ma un processo di vigilanza attiva.

Mappatura delle dipendenze e monitoraggio continuo

Per implementare un programma di Third Party Risk Management efficace, è necessario superare l'approccio statico dell'onboarding. Un sistema strutturato deve seguire queste fasi:

• Identificazione e Inventario: Creazione di un registro centralizzato di tutte le terze parti, includendo fornitori SaaS, cloud provider, system integrator, studi legali e consulenti con accesso a dati personali (PII) o sistemi OT/IoT.
• Segmentazione del Rischio: Classificazione dei fornitori in base alla criticità. Non tutti i partner richiedono lo stesso livello di scrutinio; l'attenzione deve concentrarsi su chi possiede accessi privilegiati o gestisce dati sensibili.
• Valutazione Iniziale (Onboarding): Analisi delle vulnerabilità e verifica delle certificazioni prima dell'attivazione del servizio.
• Monitoraggio Continuo: Superamento del modello a intervalli annuali a favore di un controllo costante delle CVE (Common Vulnerabilities and Exposures) e della conformità dei partner.
• Integrazione nel Risk Assessment: I rischi dei fornitori non devono vivere in un silos, ma essere integrati nel Risk Assessment generale dell'azienda.

La supply chain del cloud tra NIS2 e il mercato italiano

Per le imprese italiane, l'impatto della NIS2 e l'evoluzione del TPRM segnano il passaggio a una fase di maturità forzata. Il mercato locale, caratterizzato da una forte presenza di PMI che spesso agiscono come fornitori per grandi gruppi, si trova ora in una posizione di vulnerabilità: se non adeguano i propri standard di sicurezza, rischiano di essere espulse dalle supply chain dei soggetti NIS.

L'integrazione tra AI Act e NIS2 aggiunge un ulteriore livello di complessità. I fornitori cloud che operano come AI inference provider devono ora garantire non solo la sicurezza dei dati, ma anche la trasparenza e la resilienza dei modelli di intelligenza artificiale che mettono a disposizione delle imprese.

Analisi delle implicazioni business: La sicurezza della supply chain diventerà un vantaggio competitivo. Le aziende che potranno certificare un TPRM rigoroso attireranno partner più solidi e ridurranno i premi delle cyber insurance, che sono sempre più legate alla capacità di dimostrare il controllo sulle terze parti.

Per monitorare l'evoluzione di questo scenario, gli imprenditori dovrebbero osservare tre indicatori verificabili:

1. L'aggiornamento dei contratti di servizio (SLA): La comparsa di clausole specifiche di responsabilità NIS2 nei contratti con i provider cloud entro il 2026.
2. Il costo delle polizze Cyber: Un aumento dei premi per le aziende che non presentano un piano di mappatura delle dipendenze terze.
3. Le sanzioni dell'AGID o del Garante: I primi provvedimenti sanzionatori basati non su un breach interno, ma sulla mancata vigilanza su un fornitore critico.

Domande frequenti

---

Fonti: News, Sicurezza-informatica, Ictsecuritymagazine ·

glacom · Configuratore 3D industriale: varianti e preventivi senza errori →