Guardian360
Inizia la prova gratuitaDiventa partner
← Tutti i post

Conformità

La compliance per procura non è scalabile

Di Jan Martijn Broekhof ·

La Cyberbeveiligingswet è entrata in vigore il 15 agosto 2026, formalizzando nuovi obblighi per circa 8.000 organizzazioni nei Paesi Bassi (Rijksoverheid, 2026). Il mercato della consulenza ha impiegato mesi a prepararsi a questa data, e quasi tutta quella preparazione è andata a un solo gruppo: gli enti essenziali e importanti ora direttamente obbligati dalla nuova legge. I consulenti sono stati impegnati a tempo pieno per aiutare quelle organizzazioni a mappare le loro misure di duty of care, registrarsi presso l’NCSC e mettere in ordine la loro governance.

Supponi, in modo prudente, che ognuna di quelle 8.000 organizzazioni si affidi ad almeno venti fornitori, e il numero di imprese che ora si trovano di fronte a una questione di conformità a causa di questa legge, pur non essendo esse stesse direttamente regolamentate, supera già ampiamente le 100.000.

NFIR ha notato qualcos’altro mentre svolgeva proprio quel lavoro di consulenza. Trovandosi all’interno di quelle conversazioni, ancora e ancora, emergeva la stessa lacuna: l’organizzazione obbligata era di solito in condizioni ragionevoli, spesso già certificata ISO 27001 o ben avviata a esserlo, ma i suoi fornitori no. Quei fornitori non avevano alcun certificato da esibire, nessun modo condiviso per dimostrare la propria postura di sicurezza e nessuna idea di come rispondere alla questione di conformità che stava per arrivare nella loro casella di posta da parte di diversi clienti contemporaneamente.

Bizway ha visto lo stesso problema dall’altro lato. Essendo essa stessa un fornitore, Bizway aveva già iniziato a notare un aumento proprio di questo tipo di richieste: clienti che chiedevano, a volte formalmente e a volte come pensiero secondario in una revisione dell’account, come Bizway potesse dimostrare di soddisfare le aspettative legate alla NIS2. Due organizzazioni, due punti di vista, la stessa osservazione: la pressione di questa legge non sarebbe mai rimasta contenuta all’interno delle 8.000 aziende direttamente regolamentate. Sarebbe sempre ricaduta un livello più in basso, su chi le rifornisce.

Perché il tuo cliente ti chiede all’improvviso una dichiarazione di conformità?

Non è una coincidenza, e non è una gestione dell’account troppo zelante. L’articolo 21 della direttiva NIS2 richiede agli enti essenziali e importanti di gestire la sicurezza della propria catena di fornitura, compresi gli aspetti legati alla sicurezza delle loro relazioni con i fornitori diretti (ENISA, 2023). Nella pratica, quell’obbligo non può restare all’interno dell’organizzazione regolamentata. Deve essere trasferito verso il basso, nei contratti, nelle checklist di onboarding e, nel modo più evidente, in una questione di conformità rivolta a ogni fornitore da cui l’organizzazione dipende.

L’analisi di ENISA sulla cybersecurity della catena di fornitura, pubblicata nel 2023 e ancora il riferimento UE più citato su questo meccanismo, ha rilevato che le compromissioni della catena di fornitura erano cresciute da meno dell’1 percento delle intrusioni nel 2020 al 17 percento entro il 2021. Nel 66 percento degli incidenti esaminati, il fornitore colpito non sapeva come fosse stato compromesso, o non riusciva a spiegarlo in modo trasparente al cliente che dipendeva da esso. È esattamente la lacuna che la Cyberbeveiligingswet è progettata per colmare, ed esattamente il motivo per cui un’organizzazione regolamentata ha ora tutto l’interesse a chiedere ai suoi fornitori di dimostrare il proprio lavoro invece di darlo per scontato.

Un certificato non è la risposta ovvia?

La risposta più pulita sarebbe che ogni fornitore ottenga la certificazione ISO 27001 e chiuda la questione. Per una manciata di fornitori più grandi, è una strada sensata, e alcuni la stanno già percorrendo. Per la maggior parte, non è realistica, e per certi versi non è nemmeno necessaria. Un certificato è costoso, richiede mesi per essere ottenuto ed è pensato per organizzazioni di una certa dimensione e maturità. Moltissimi fornitori che non rappresentano alcun rischio significativo per la conformità NIS2 dei loro clienti vengono invitati, implicitamente, a comportarsi come se lo rappresentassero.

Ciò di cui quei fornitori hanno davvero bisogno non è un certificato. È un modo credibile e documentato per rispondere alla domanda che viene loro posta, sostenuto da qualcosa di più solido di una email rassicurante.

Cosa succede quando allo stesso fornitore viene posta la stessa domanda cinquanta volte?

Qui il problema si aggrava. Un fornitore raramente ha un solo cliente che pone questa domanda; ne ha diversi, ciascuno con un modulo leggermente diverso, una scadenza diversa e un insieme diverso di risposte attese. L’analisi di settore di ISACA del maggio 2026 descrive questo direttamente come un passaggio dall’affaticamento da questionari alla necessità di un’assicurazione contestuale e supportata da prove, osservando che il vecchio modello di questionari ad hoc e una tantum semplicemente non è scalabile una volta che ogni cliente inizia a chiedere in modo indipendente (ISACA, 2026). Moltiplica questo per il numero di clienti che un fornitore di medie dimensioni serve, e il fornitore finisce per passare più tempo a compilare moduli che a migliorare effettivamente la propria sicurezza.

Non è un fallimento della diligenza di un singolo fornitore. È un fallimento strutturale di un modello costruito per domande occasionali, ora poste in modo continuo e simultaneo da tutti insieme.

Un questionario su misura da parte di ciascun cliente non sarebbe più accurato?

C’è un argomento reale a favore dell’approccio attuale. Un cliente che redige il proprio questionario può adattarlo con precisione al rischio che quel fornitore rappresenta per lui: a un fornitore che tratta dati sensibili vengono poste domande diverse rispetto a uno che fornisce mobili per ufficio con un lettore di badge connesso a internet. I questionari su misura mantengono inoltre la titolarità e la responsabilità esattamente dove la NIS2 le colloca, presso l’organizzazione regolamentata stessa, non presso un modello condiviso che nessuno ha revisionato.

Il problema è che questa accuratezza funziona solo su piccola scala. Una volta che un’organizzazione deve valutare decine o centinaia di fornitori, e una volta che ciascuno di quei fornitori riceve la stessa richiesta da parte di diversi clienti in parallelo, un processo su misura e manuale non diventa più accurato con il volume. Diventa più lento, più incoerente e più incline a essere compilato in modo superficiale solo per togliersi il pensiero dalla scrivania. La precisione ottenuta al costo del completamento non è di grande utilità per nessuno.

Cosa significa davvero “dimostrare il proprio lavoro”?

È questo il problema a cui punta la nuova funzionalità dei questionari di conformità di Lighthouse, sviluppata insieme a NFIR e Bizway. Fornisce a un’organizzazione questionari standard NIS2/Cbw, in varianti dimensionate a seconda che il suo cliente sia un ente essenziale o importante, così che un fornitore possa compilare qualcosa di proporzionato all’obbligo reale anziché a uno scenario peggiore massimalista. Le risposte non si riducono a sì o no; ciascuna porta con sé una prova, una spiegazione o una data prevista dove qualcosa è ancora in corso, e ogni risposta è marcata temporalmente con un audit trail.

Il cambiamento più utile è ciò che accade dopo la prima risposta. Un fornitore può rispondere una volta, allegare la prova e riutilizzare quella prova attestata la volta successiva che un cliente diverso pone la stessa domanda, invece di ripartire ogni volta da un modulo in bianco. Meglio ancora, un fornitore non deve nemmeno aspettare la richiesta: lo stesso questionario compilato può essere condiviso proattivamente con tutti i clienti in una volta sola, anticipando la domanda prima ancora che arrivi.

Sul versante del cliente, un’organizzazione può registrare i fornitori da cui dipende, inviare a ciascuno il questionario appropriato a proprio nome e vedere una panoramica in tempo reale di come si posiziona l’intera catena, con la rivalutazione a un solo clic al ciclo successivo. I questionari sono inclusi senza costi aggiuntivi per i partner di Guardian360 e i loro clienti, quindi il budget non è un motivo per rimandare questo al prossimo trimestre. Guardian360 è esplicito nel dire che questo è uno strumento di readiness, non una certificazione: non sostituisce un audit formale o una valutazione di conformità, e non pretende di farlo. Ciò che sostituisce sono i cinquanta fogli di calcolo separati che nessuno aveva il tempo di confrontare.

Il punto non è mai stato le 8.000

Vale la pena tornare a dove tutto è iniziato. La NIS2, e la Cyberbeveiligingswet che la recepisce, non hanno mai riguardato davvero il rafforzamento di 8.000 organizzazioni in isolamento. L’intera logica del requisito sulla catena di fornitura dell’articolo 21 è che la sicurezza di un’organizzazione regolamentata è buona solo quanto lo sono i fornitori che le stanno sotto. Se tratti la legge come un esercizio di conformità per le aziende nominate nel suo ambito, l’ambizione reale, alzare il livello minimo di sicurezza in un’intera catena di fornitura di ben oltre 100.000 imprese, fallisce silenziosamente al primo anello fuori da quell’ambito.

NFIR l’ha colto dalla poltrona della consulenza, osservando organizzazione dopo organizzazione mettere in ordine casa propria mentre i suoi fornitori non avevano a chi rivolgersi. Bizway l’ha colto dal lato di chi riceve, rispondendo alla stessa domanda sempre più spesso e con sempre meno pazienza. Le due osservazioni portano alla stessa conclusione: la compliance per procura, un cliente, un questionario, un fornitore alla volta, non è scalabile alle dimensioni del problema che la NIS2 è stata scritta per risolvere. Costruire per il livello sottostante alle 8.000 non è un progetto secondario. È più vicino al vero senso della legge di quanto lo sia stata la corsa alla certificazione.

Fonti