Può capitare che un’azienda che non rientra direttamente tra i soggetti obbligati dalla NIS2 riceva da un cliente un questionario sulla cybersecurity, nuove clausole contrattuali sulla sicurezza delle informazioni o una richiesta relativa alla certificazione ISO/IEC 27001.
A quel punto il dubbio è comprensibile: se la certificazione non è obbligatoria per la mia impresa, perché il cliente me la sta chiedendo?
Per rispondere bisogna guardare al modo in cui oggi viene gestito il rischio lungo la catena di fornitura. Un’organizzazione non dipende soltanto dai propri sistemi, dalle proprie persone e dalle misure di sicurezza adottate internamente. Dipende anche da fornitori e service provider che possono trattare informazioni, accedere a sistemi, sviluppare software, gestire infrastrutture o svolgere attività importanti per la continuità dei processi ed è proprio questa dipendenza a rendere la cybersecurity un tema che riguarda sempre più anche il rapporto tra imprese.
La questione, quindi, non è stabilire semplicemente se ISO/IEC 27001 sia obbligatoria oppure no. Occorre distinguere l’obbligo previsto dalla normativa dalle condizioni che un committente può stabilire per governare il rischio associato ai propri fornitori ed è una distinzione particolarmente importante per le PMI che lavorano all’interno di filiere B2B strutturate.
La sicurezza del committente passa anche dai suoi fornitori
La Direttiva NIS2 aiuta a capire perché questo tema abbia assunto una rilevanza così concreta. Tra le misure di gestione dei rischi di cybersecurity previste dall’articolo 21 compare espressamente la sicurezza della catena di approvvigionamento, compresi gli aspetti relativi ai rapporti tra le organizzazioni interessate e i loro fornitori diretti o fornitori di servizi.
La Direttiva richiede inoltre di considerare le vulnerabilità specifiche dei fornitori diretti e la qualità complessiva dei loro prodotti e delle loro pratiche di cybersecurity. Il principio che ne emerge è abbastanza semplice: un’organizzazione non può valutare il proprio rischio cyber ignorando i soggetti esterni dai quali dipende.
Questo non trasforma automaticamente ogni fornitore di un soggetto NIS2 in un’impresa sottoposta agli stessi obblighi del cliente. È però facile comprendere perché un’azienda che deve governare il rischio della propria supply chain possa iniziare a fare domande più precise ai propri partner.
Che tipo di informazioni vengono trattate? Chi vi accede? Come vengono gestiti gli incidenti? Quali misure di sicurezza sono state adottate? Esiste un sistema strutturato per gestire questi aspetti?
In alcuni rapporti commerciali queste domande possono tradursi in questionari o assessment; in altri possono entrare nei criteri di qualifica o nei contratti. Per alcune specifiche categorie di soggetti interessate dal Regolamento di esecuzione (UE) 2024/2690, il quadro arriva a prevedere una politica per la sicurezza della supply chain e criteri da considerare nella selezione e nella contrattualizzazione dei fornitori e dei service provider e non si tratta soltanto di una possibilità teorica.
Nel NIS Investments 2025, ENISA ha rilevato che, nel campione analizzato di 1.080 professionisti rappresentativi di organizzazioni dell’Unione Europea appartenenti ai settori NIS ad alta criticità, il 63% indicava tra le pratiche adottate la richiesta ai supplier di certificazioni di cybersecurity o di conformità a standard. Il 54% indicava supplier risk assessment o audit e il 48% requisiti di cybersecurity inseriti nei contratti. Il campione era costituito per l’83% da grandi imprese e per il 17% da PMI, quindi questi numeri non possono essere estesi indistintamente a tutte le aziende europee.
Il dato interessante è un altro: certificazioni, standard, audit e condizioni contrattuali fanno già parte degli strumenti utilizzati per gestire il rischio collegato ai fornitori.
Per una PMI B2B questo cambia la prospettiva. La domanda non è più soltanto “quali obblighi si applicano direttamente alla mia azienda?”, ma anche “quali esigenze di sicurezza devono governare i clienti con cui lavoro?”
Sono due domande diverse, e possono portare a conseguenze diverse.
Se non è un obbligo di legge, perché il cliente può richiederlo?
È probabilmente questo il passaggio sul quale si genera più confusione. ISO/IEC 27001 non diventa obbligatoria per un’impresa semplicemente perché un suo cliente è soggetto alla NIS2. La Direttiva non stabilisce infatti un obbligo generalizzato di certificazione ISO/IEC 27001 per tutti i fornitori.
Fermarsi a questa risposta rischia di far perdere una parte importante del problema. Un cliente può avere la necessità di stabilire quali condizioni debbano soddisfare i soggetti ai quali affida attività, servizi o informazioni. Può quindi definire criteri di qualifica, chiedere evidenze, introdurre condizioni contrattuali oppure svolgere proprie verifiche.
In questo contesto una certificazione volontaria può assumere rilevanza nella relazione commerciale senza diventare per questo un obbligo previsto dalla legge.
È una distinzione che vale la pena tenere presente anche al di fuori della NIS2. Nelle relazioni B2B, infatti, ciò che viene richiesto a un fornitore non deriva necessariamente da una norma che si applica direttamente a quest’ultimo. Può derivare anche dal livello di rischio che il committente associa a quella fornitura e dalle modalità con cui ha deciso di governarlo. Questo porta anche a una considerazione più ampia: per un’impresa che opera come fornitore, conoscere gli obblighi normativi applicabili rimane indispensabile. Ma potrebbe non essere più sufficiente per comprendere ciò che il mercato le sta chiedendo. Diventa importante conoscere anche la propria posizione all’interno della filiera e il tipo di dipendenza che i clienti hanno sviluppato nei confronti dei suoi prodotti o servizi.
Un fornitore che gestisce dati o accede ai sistemi del cliente, ad esempio, pone questioni diverse rispetto a un soggetto che non ha alcuna interazione con le sue informazioni o infrastrutture. Anche le evidenze richieste possono quindi essere differenti. È per questo che sarebbe altrettanto sbagliato passare dall’estremo “ISO 27001 è obbligatoria per tutti” all’estremo opposto “se non sono obbligato, la questione non mi riguarda”.
Dove entra realmente ISO/IEC 27001
ISO/IEC 27001:2022 definisce i requisiti di un Sistema di Gestione per la Sicurezza delle Informazioni, comunemente indicato come SGSI o ISMS.
Il punto è importante perché permette di capire cosa un committente possa effettivamente leggere dietro una certificazione. La ISO/IEC 27001 non è semplicemente un elenco di misure informatiche. Il sistema di gestione riguarda il modo in cui l’organizzazione affronta i rischi relativi alla sicurezza delle informazioni attraverso processi, responsabilità, persone e misure organizzative e tecnologiche. ISO indica inoltre la certificazione come una modalità attraverso cui un’organizzazione può dimostrare a clienti e stakeholder il proprio impegno e la propria capacità nella gestione sicura delle informazioni. Questo spiega perché possa trovare spazio anche nei rapporti di fornitura.
Occorre evitare un altro equivoco: possedere un certificato ISO/IEC 27001 non equivale a dichiarare che un fornitore sia “sicuro” in senso assoluto. La certificazione riguarda un sistema di gestione e un determinato campo di applicazione. Non significa che ogni servizio, sede o attività svolta dall’organizzazione rientri necessariamente nello stesso perimetro; soprattutto, non elimina la possibilità che il committente abbia bisogno di approfondire rischi specifici della fornitura.
Se un supplier gestisce un servizio particolarmente critico per il cliente, ad esempio, la presenza della certificazione può rappresentare un’informazione rilevante senza esaurire tutte le verifiche necessarie ed è forse questo il modo più corretto di leggere ISO/IEC 27001 all’interno della supply chain: non come sostituto della valutazione del fornitore, ma come una delle evidenze che possono concorrere a quella valutazione.
Anche gli standard ISO dedicati alle relazioni tra acquirer e supplier confermano che la sicurezza delle informazioni nella supply chain è un problema più ampio della presenza o meno di un certificato. La serie ISO/IEC 27036 affronta infatti specificamente la sicurezza nelle relazioni con i fornitori e considera entrambe le prospettive: quella di chi acquista prodotti o servizi e quella di chi li fornisce.
La questione riguarda la cybersecurity, ma anche il rapporto tra imprese
Guardando il problema esclusivamente dal punto di vista tecnico si rischia di perdere la trasformazione più interessante. Quando un cliente inserisce requisiti di cybersecurity nella qualificazione di un supplier, la sicurezza delle informazioni smette di essere soltanto un argomento dell’ufficio IT. Entra nel procurement, nei contratti, nella gestione dei fornitori e, in alcuni casi, nelle valutazioni che precedono o accompagnano una relazione commerciale.
Dal lato del committente significa chiedersi quanto un fornitore possa incidere sul proprio livello di rischio e quali evidenze siano proporzionate a quella relazione. Dal lato del supplier il ragionamento è speculare. Non basta sapere di avere firewall, backup o procedure interne: può diventare necessario essere in grado di spiegare e dimostrare come viene gestita la sicurezza delle informazioni.
Questa differenza tra fare e poter dimostrare come si fa merita attenzione.
Un’impresa può avere adottato numerose misure tecniche e trovarsi comunque in difficoltà quando un grande cliente chiede evidenze organizzate, responsabilità definite, criteri di gestione del rischio o informazioni sul modo in cui vengono controllati determinati processi. È anche in questo spazio che un sistema di gestione può assumere un significato diverso dalla semplice somma di singole misure di cybersecurity.
Allo stesso tempo, sarebbe un errore trasformare ogni richiesta proveniente da un cliente nella conclusione automatica che occorra certificarsi. Prima viene un’altra valutazione: che ruolo ricopre l’impresa nella filiera? Quali informazioni del cliente tratta? A quali sistemi può accedere? Quanto è rilevante il servizio che fornisce? Quali conseguenze avrebbe per il committente un incidente che coinvolgesse quel servizio? E quali evidenze vengono effettivamente richieste?
Sono domande che riguardano la relazione concreta tra le due organizzazioni. Ed è proprio per questo che non esiste una risposta identica per tutti i fornitori.
Dalla domanda “sono obbligato?” a una valutazione più utile
Quando arriva una richiesta relativa alla cybersecurity, la prima reazione di molte aziende è comprensibilmente cercare di capire se esista un obbligo. È una verifica necessaria, ma oggi può essere solo il punto di partenza.
Per un’impresa che lavora all’interno di una supply chain strutturata diventa altrettanto importante capire quali rischi il cliente associa alla relazione di fornitura e quali evidenze considera adeguate per governarli.
È qui che cambia anche il modo di guardare alla ISO/IEC 27001. La domanda non dovrebbe essere semplicemente “mi serve il certificato?”. Prima ancora sarebbe utile chiedersi se la gestione della sicurezza delle informazioni sia sufficientemente strutturata rispetto al ruolo che l’azienda ricopre nella filiera e alle aspettative dei suoi committenti.
La certificazione può poi assumere un significato preciso: fornire un’evidenza indipendente dell’esistenza di un SGSI conforme alla norma, nel relativo campo di applicazione. Non rende superflui audit, questionari o verifiche specifiche del cliente e non garantisce l’assenza di incidenti. Offre però al rapporto tra le parti un’informazione che una semplice dichiarazione dell’azienda non possiede. La riflessione finale, quindi, riguarda soprattutto le imprese che fino a oggi hanno considerato la cybersecurity come una questione confinata all’interno dei propri sistemi.
Quanto della sicurezza di un cliente dipende oggi da ciò che facciamo noi come fornitori? E quanto siamo in grado di dimostrargli, in modo strutturato, come gestiamo quella responsabilità?
Sono domande che probabilmente diventeranno sempre più presenti nei rapporti di filiera. Ma già oggi, prima ancora di chiedersi quale certificazione ottenere, possono aiutare un’impresa a comprendere meglio la propria posizione nei confronti dei clienti e il livello di maturità con cui gestisce la sicurezza delle informazioni.
Una nuova responsabilità nei rapporti di fornitura
La NIS2 ha reso ancora più evidente un aspetto che la crescente interdipendenza tra organizzazioni aveva già posto sul tavolo: il rischio cyber non coincide necessariamente con i confini dell’azienda che deve gestirlo.
Da qui possono nascere questionari, audit, clausole contrattuali e richieste di conformità a standard rivolte ai fornitori. Non tutte hanno lo stesso significato e, soprattutto, non trasformano automaticamente ISO/IEC 27001 in un obbligo di legge.
Per le imprese B2B, però, limitarsi a questa constatazione sarebbe poco utile. Se la sicurezza delle informazioni entra nei criteri con cui un cliente valuta i propri supplier, diventa anche un elemento della relazione commerciale.
La questione da affrontare è allora più concreta: capire quale dipendenza crea la propria attività per il cliente, quali rischi ne derivano e quali evidenze l’organizzazione è effettivamente in grado di fornire sul modo in cui li gestisce.
In questo quadro va collocata anche ISO/IEC 27001: non come un “passaporto” automatico per entrare in una filiera e nemmeno come una garanzia assoluta di sicurezza, ma come uno strumento attraverso il quale un’organizzazione può sottoporre a certificazione il proprio Sistema di Gestione per la Sicurezza delle Informazioni.
La tua organizzazione sta valutando la certificazione ISO/IEC 27001 o ha ricevuto una richiesta in questo senso da un cliente? ISO CERT può fornire informazioni sull’iter di certificazione, sulle relative fasi e sul campo di applicazione della certificazione.
La tua organizzazione sta valutando la certificazione ISO/IEC 27001 o ha ricevuto una richiesta in questo senso da un cliente? ISO CERT può fornirti supporto a riguardo : contattaci per maggiori informazioni sull’iter, le fasi di certificazione e il relativo campo di applicazione.