--- title: "Supply Chain Security e NIS 2: cosa cambia per le aziende (PMI incluse)" description: Conosci le implicazioni di NIS 2 sulla supply chain security? Esplora obblighi, tool e strategie per proteggere le tue reti di fornitura. image: https://newsroom.kireygroup.com/hubfs/Cybersecurity%20idea%202.jpg --- [kireygroup.com](https://www.kireygroup.com/) [![](https://newsroom.kireygroup.com/hubfs/item-2020-dicembre/logo-Blog-v2.svg)](https://newsroom.kireygroup.com/news) - Ita - [Eng](https://newsroom.kireygroup.com/en/news/supply-chain-security-and-nis-2-what-changes-for-companies-including-smes?hsLang=en) - [Esp](https://newsroom.kireygroup.com/es/news/supply-chain-security-y-nis-2-que-cambia-para-las-empresas-pymes-incluidas?hsLang=es) [Kireygroup.com](https://www.kireygroup.com/) # Get your daily dose of tech! ## We Shape Your Knowledge # [Legacy modernization nel banking: il vero costo di sistemi e tecnologie datate](https://newsroom.kireygroup.com/news/legacy-modernization-nel-banking-il-vero-costo-di-sistemi-e-tecnologie-datate?hsLang=it) Il settore bancario è uno dei maggiori investitori mondiali in trasformazione digitale e innovazione... [Leggi tutto](https://newsroom.kireygroup.com/news/legacy-modernization-nel-banking-il-vero-costo-di-sistemi-e-tecnologie-datate?hsLang=it) 10 MIN READ 22 settembre 2026 ### Latest News - [Legacy modernization nel banking: il vero costo di sistemi e tecnologie datate](https://newsroom.kireygroup.com/news/legacy-modernization-nel-banking-il-vero-costo-di-sistemi-e-tecnologie-datate?hsLang=it) - [Context Engineering, l’arte e la scienza che guidano gli AI Agent](https://newsroom.kireygroup.com/news/context-engineering-l-arte-e-la-scienza-che-guidano-gli-ai-agent?hsLang=it) - [Agentic AI Governance: come gestire al meglio un’AI in grado di agire](https://newsroom.kireygroup.com/news/agentic-ai-governance-come-gestire-al-meglio-un-ai-in-grado-di-agire?hsLang=it) - [Autonomous SOC: realtà, limiti e prospettive della sicurezza guidata dall’AI](https://newsroom.kireygroup.com/news/autonomous-soc-realta-limiti-e-prospettive-della-sicurezza-guidata-dall-ai?hsLang=it) - [Data Virtualization, il pilastro delle aziende data-driven: cos’è e come funziona](https://newsroom.kireygroup.com/news/data-virtualization-il-pilastro-delle-aziende-data-driven-cos-e-come-funziona?hsLang=it) - [Cloud Economics: l’obiettivo non è spendere meno, ma spendere meglio](https://newsroom.kireygroup.com/news/cloud-economics-l-obiettivo-non-e-spendere-meno-ma-spendere-meglio?hsLang=it) - [Cybersecurity](https://newsroom.kireygroup.com/news/tag/cybersecurity) / # Supply Chain Security e NIS 2: cosa cambia per le aziende (PMI incluse) #### Kirey [![](https://newsroom.kireygroup.com/hubfs/en.svg)](https://newsroom.kireygroup.com/en/news/supply-chain-security-and-nis-2-what-changes-for-companies-including-smes?hsLang=en)    [![](https://newsroom.kireygroup.com/hubfs/ES.svg)](https://newsroom.kireygroup.com/es/news/supply-chain-security-y-nis-2-que-cambia-para-las-empresas-pymes-incluidas?hsLang=es) 8 MIN READ 12 settembre 2025 - Share on: - - - - [All](https://newsroom.kireygroup.com/news) - Categories + - [Corporate](https://newsroom.kireygroup.com/news/tag/corporate) - [Cybersecurity](https://newsroom.kireygroup.com/news/tag/cybersecurity) - Events/Webinars - [Data Value](https://newsroom.kireygroup.com/news/tag/data-value) - [Cloud](https://newsroom.kireygroup.com/news/tag/cloud) - [Innovation](https://newsroom.kireygroup.com/news/tag/innovation) - [Intelligenza Artificiale](https://newsroom.kireygroup.com/news/tag/intelligenza-artificiale) - [Monitoring](https://newsroom.kireygroup.com/news/tag/monitoring) - [DevSecOps](https://newsroom.kireygroup.com/news/tag/devsecops) - [Sviluppo Software](https://newsroom.kireygroup.com/news/tag/sviluppo-software) - [Corporate Social Responsibility](https://newsroom.kireygroup.com/news/tag/corporate-social-responsibility) - [Data Privacy](https://newsroom.kireygroup.com/news/tag/data-privacy) - [Welfare & Previdenza](https://newsroom.kireygroup.com/news/tag/welfare-previdenza) - [Accessibility](https://newsroom.kireygroup.com/news/tag/accessibility) - [Advisory](https://newsroom.kireygroup.com/news/tag/advisory) - [Automation](https://newsroom.kireygroup.com/news/tag/automation) - [Cybersecurity](https://newsroom.kireygroup.com/news/tag/cybersecurity) - [Digital Banking](https://newsroom.kireygroup.com/news/tag/digital-banking) - [Digital Industry](https://newsroom.kireygroup.com/news/tag/digital-industry) - [Press & PR](https://newsroom.kireygroup.com/news/tag/press) Nell’ultimo decennio, la sicurezza estesa alla catena di fornitura (Supply Chain Security) è diventata una priorità per molte organizzazioni, ma se fino a ieri questa esigenza **si traduceva in buone prassi gestionali**, oggi – con la direttiva NIS 2 formalmente in vigore – diventa un obbligo normativo. In questo articolo scopriamo **i dettagli di questa evoluzione e cosa fare**, concretamente, per essere a norma. ## Supply Chain Security e l’interdipendenza tecnologica Qualsiasi organizzazione strutturata fa parte di **una rete di fornitori, partner e service provider spesso connessi tra di loro** non solo a livello relazionale, ma anche digitale. API, piattaforme collaborative, moduli ERP e soluzioni digitali condivise (portali B2B, piattaforme di fatturazione…) **creano una vera e propria interdipendenza tecnologica**, che se da un lato abilita efficienza e innovazione, dall’altro espone ogni nodo della catena a vulnerabilità che possono creare un effetto domino devastante. Negli ultimi anni, non sono mancati esempi eclatanti. Uno dei più noti è [**l’attacco alla piattaforma Orion di SolarWinds**](https://www.cybersecurity360.it/nuove-minacce/attacco-agli-usa-nuovi-dettagli-del-breach-solarwinds-e-come-mitigare-i-rischi/), utilizzata in reti governative e aziendali di alto livello: la compromissione di un aggiornamento software ha permesso agli hacker di infiltrarsi nelle reti di migliaia di organizzazioni e di accedere in questo modo a dati sensibili. Più recente è il caso di [3CX](https://www.wired.com/story/3cx-supply-chain-attack-north-korea-cryptocurrency-targets/), fornitore di software VoIP, compromesso nel 2023 a causa di una vulnerabilità introdotta in un componente software di terze parti che ha consentito ai cybercriminali di diffondere codice malevolo attraverso aggiornamenti legittimi, **raggiungendo così l’intera base clienti.** Questi esempi, che potrebbero proseguire, dimostrano che gli attaccanti non puntano più direttamente al loro bersaglio, ma preferiscono sondare la rete **in cerca dell’anello debole**: una piccola azienda con scarse difese, un partner tecnologico trascurato o un software non aggiornato. Ecco perché proteggere la supply chain è un dovere strategico e, con NIS 2, anche un obbligo di legge. ## NIS 2, supply chain security e la responsabilità delle imprese Il legame tra NIS 2 e sicurezza della supply chain è sancito in modo esplicito [dall’articolo 21 della Direttiva](https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:02022L2555-20221227&qid=1750316049555), che stabilisce il principio fondamentale alla base del nuovo impianto normativo: “*Gli Stati membri provvedono affinché i soggetti essenziali e importanti adottino misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi posti alla sicurezza dei sistemi informativi e di rete che tali soggetti utilizzano nelle loro attività o nella fornitura dei loro servizi, nonché per prevenire o ridurre al minimo l’impatto degli incidenti per i destinatari dei loro servizi e per altri servizi*”. Queste misure, basate su un approccio che il legislatore definisce *multirischio*, includono esplicitamente, sempre secondo l’articolo 21, anche la “*sicurezza della catena di approvvigionamento, compresi aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi*”. Con NIS 2, quindi, la responsabilità della sicurezza informatica non si esaurisce all’interno dei confini aziendali, ma **si estende a monte e a valle della filiera**. La Direttiva attribuisce un ruolo attivo e centrale ai **soggetti essenziali e importanti** (operatori pubblici e privati in settori critici), che diventano responsabili anche delle potenziali vulnerabilità **introdotte dai propri fornitori.** Questa responsabilità distribuita genera un duplice effetto: obbliga le organizzazioni direttamente soggette alla Direttiva ad **attrezzarsi con processi strutturati per valutare e monitorare la postura di sicurezza dei propri partner**, nonché (indirettamente) a notificare incidenti che, pur non colpendoli direttamente, hanno un impatto significativo sulla loro capacità di fornire servizi. Al tempo stesso, la normativa spinge i fornitori – anche di piccole dimensioni – ad elevare il proprio livello di sicurezza, **pena l’esclusione da contratti e gare.** In altri termini,NIS 2 introduce un meccanismo sistemico in cui anche le PMI, pur non obbligate in prima battuta, si trovano a doversi adeguare **per rimanere competitive in un ecosistema digitale sempre più connesso.** ## Come gestire la sicurezza della supply chain per essere conformi a NIS 2 Ora ci domandiamo cosa significhi, concretamente, mettere in sicurezza la catena di fornitura per essere compliant alla nuova Direttiva europea. NIS 2 è un atto normativo di alto livello e certamente non prescrive modalità operative o tool, ma fissa i principi, le responsabilità e **richiede che le aziende adottino un approccio strutturato e proporzionato al proprio profilo di rischio**. Ecco come fare. ### Assessment dei fornitori: valutare il rischio, prima di tutto Fare un assessment dei fornitori significa analizzare **il livello di esposizione al rischio cyber che ciascun partner esterno può rappresentare per l’organizzazione.** Le criticità principali in questa fase riguardano **la complessità della rete di fornitura,** spesso composta da decine o centinaia di soggetti eterogenei distribuiti su scala globale e non soggetti al medesimo impianto normativo, nonché carenze a livello di trasparenza. Per affrontare queste sfide, le organizzazioni possono adottare un mix di strumenti diversi. 1. I **questionari di autovalutazione** sono uno dei primi passi: permettono di raccogliere informazioni su pratiche di sicurezza, gestione delle credenziali, incidenti pregressi, uso di framework o standard specifici. In presenza di fornitori critici o strategici, **si può ricorrere a assessment on-site**, condotti direttamente dal team interno o da terze parti qualificate. Un modello da cui trarre spunto è [quello del Clusit](https://clusit.it/blog/questionario-per-la-sicurezza-dei-fornitori-versione-2/). 2. Altro elemento chiave è la verifica delle certificazioni come ISO 27001 o SOC 2, che costituiscono un ottimo indicatore di maturità. Tuttavia, possono essere integrate con dati provenienti da fonti esterne, come **analisi automatiche della superficie esposta** a internet o segnali di minacce rilevati da piattaforme di threat intelligence. ### Integrare la gestione del cyber risk nei contratti Una volta misurato il rischio, è necessario tradurre gli esiti dell’assessment **in impegni contrattuali chiari e vincolanti**, un passaggio decisivo per rendere la sicurezza una responsabilità condivisa. In termini pratici, ciò si traduce nel definire, nero su bianco, **quali standard debbano essere rispettati, quali siano le aspettative minime** in termini di protezione dei dati e continuità operativa, e cosa accada in caso di non conformità. Tra le clausole più efficaci ci sono quelle che impongono l’adozione di specifici framework di sicurezza (come ISO 27001), **la notifica obbligatoria di eventuali incidenti o vulnerabilità**, e la possibilità per l’azienda cliente di **condurre audit periodici o richiedere aggiornamenti sulla postura di sicurezza**. Tutto questo contribuisce a mantenere alta l’attenzione lungo l’intero ciclo di vita del rapporto. ### Tecnologie e strumenti per il monitoraggio continuo Per essere conformi ai principi di NIS 2 è necessario un passo ulteriore: il monitoraggio continuo della sicurezza della catena di fornitura. Oggi esistono tecnologie in grado di offrire **una visibilità dinamica e aggiornata sul rischio cyber dei fornitori**, senza dover attendere una nuova tornata di audit o la compilazione di un questionari sempre più specifici. Come sempre accade in questi casi, il panorama delle soluzioni è sterminato: si parte dalle piattaforme di [gestione del rischio di terze parti](https://www.gartner.com/reviews/market/third-party-risk-management-solutions-for-compliance) (TPRM), che centralizzano il ciclo di vita del *supplier risk*, coprendo le fasi che vanno dall'onboarding alla due diligence, fino al monitoraggio continuo. Queste piattaforme facilitano la stesura e la raccolta di questionari di sicurezza, aiutano a identificare le lacune e il follow-up delle azioni correttive, oltre a integrare i flussi di lavoro per la notifica e la gestione degli incidenti. Da segnalare anche le **piattaforme di security rating**, che valutano la postura di sicurezza di un fornitore da una prospettiva esterna, analizzando dati pubblicamente disponibili come configurazioni di rete, vulnerabilità note ed eventuali informazioni presenti nel dark e nel deep web. Questi servizi forniscono uno scoring oggettivo e sono complementari a tutte le altre misure atte a identificare i fornitori a rischio e a monitorare i trend nel tempo. ## Verso un approccio integrato e scalabile Per essere davvero efficaci, tutte queste attività devono essere integrate **in una strategia sistemica di gestione del rischio.** Serve un coordinamento tra funzioni legali, procurement, sicurezza IT e compliance: solo così è possibile affrontare in modo corretto la complessità delle filiere e garantire la conformità ai requisiti normativi senza disperdere risorse o generare colli di bottiglia che abbattono la produttività. Visita il [nostro sito](https://www.kireygroup.com/it/industries/manufacturing-retail) per scoprire tutti i servizi Kirey in ambito manufacturing e [contattaci](https://www.kireygroup.com/it/contact) per maggiori informazioni. - [Post precedente](https://newsroom.kireygroup.com/news/application-performance-monitoring-il-pilastro-invisibile-dell-observability?hsLang=it) - [Vedi tutti i post](https://newsroom.kireygroup.com/news?hsLang=it) - [Post successivo](https://newsroom.kireygroup.com/news/secure-code-il-metodo-per-garantire-la-sicurezza-delle-applicazioni?hsLang=it) ## Post correlati: #### [Autonomous SOC: realtà, limiti e prospettive della...](https://newsroom.kireygroup.com/news/autonomous-soc-realta-limiti-e-prospettive-della-sicurezza-guidata-dall-ai?hsLang=it) L’intelligenza artificiale non è certo una novità nel mondo della cybersecurity. Da oltre un decenni... [Leggi tutto](https://newsroom.kireygroup.com/news/autonomous-soc-realta-limiti-e-prospettive-della-sicurezza-guidata-dall-ai?hsLang=it) 11 MIN READ 12 settembre 2025 #### [La cybersecurity awareness deve cambiare pelle: al...](https://newsroom.kireygroup.com/news/la-cybersecurity-awareness-deve-cambiare-pelle-al-centro-la-qualita-delle-decisioni-delle-persone?hsLang=it) A cura di Roberto Marzocca, Head of Cybersecurity di Kirey Da sempre, il settore della cybersicurezz... [Leggi tutto](https://newsroom.kireygroup.com/news/la-cybersecurity-awareness-deve-cambiare-pelle-al-centro-la-qualita-delle-decisioni-delle-persone?hsLang=it) 7 MIN READ 12 settembre 2025 #### [SASE, il modello che connette e protegge le infras...](https://newsroom.kireygroup.com/news/sase-il-modello-che-connette-e-protegge-le-infrastrutture-it-moderne?hsLang=it) Le aziende moderne devono garantire connettività performante e continua a persone e asset digitali, ... [Leggi tutto](https://newsroom.kireygroup.com/news/sase-il-modello-che-connette-e-protegge-le-infrastrutture-it-moderne?hsLang=it) 18 MIN READ 12 settembre 2025 #### Explore - [Home](https://www.kireygroup.com/it) - [Competenze](https://www.kireygroup.com/it/competencies) - [Industrie](https://www.kireygroup.com/it/industries) - [Chi siamo](https://www.kireygroup.com/it/about-us) - [Tech & partners](https://www.kireygroup.com/it/tech-partners) - [Lavora con noi](https://www.kireygroup.com/it/careers) - [Contatti](https://www.kireygroup.com/it/contact) - [Corporate Social Responsibility](https://www.kireygroup.com/it/corporate-social-responsibility) - [Advisory](https://www.kireyadvisory.com/it) #### Politiche - [Qualità](https://www.kireygroup.com/oven/media/PKG-COMP-AL14-Politica-per-la-qualita.pdf) - [Sicurezza](https://www.kireygroup.com/oven/media/PKG-CIS-LG02-Politica-di-Sicurezza.pdf) - [Parità di Genere](https://www.kireygroup.com/oven/media/PKG-COMP-LG03-Politica-per-la-parita-di-Genere-v2.pdf) - [Gestione dei Servizi](https://www.kireygroup.com/oven/media/PKG-COMP-AL45-Politica-per-la-gestione-dei-servizi.pdf) - [Ambiente](https://www.kireygroup.com/oven/media/PKG-COMP-AL44-Politica-Ambientale-Kirey.pdf) - [Salute, Sicurezza e Benessere](https://www.kireygroup.com/oven/media/PKG-COMP-LG02-Politica-per-la-salute-sicurezza-e-benessere-sul-lavoro.pdf) - [ESG](https://www.kireygroup.com/oven/media/ESG-Policy-KIREY.pdf) - [Info on Data Processing](https://www.kireygroup.com/it/information-on-data-processing) #### Certificazioni - [ISO 9001:2015](https://www.kireygroup.com/oven/media/KIREY-S-R-L-9001.pdf) - [ISO/IEC 27001:2022](https://www.kireygroup.com/oven/media/KIREY-S-R-L-27001.pdf) - [PDR 125](https://www.kireygroup.com/oven/media/PDR-125-2022.pdf) - [ISO/IEC 20000-1:2018](https://www.kireygroup.com/oven/media/ISOIEC-20000-12018-ENG.pdf) - [ISO 14001:2015](https://www.kireygroup.com/oven/media/ISO-14001-2015-ENG.pdf) - [ISO 45001:2018](https://www.kireygroup.com/oven/media/CERTIFICATO-ISO-45001-KIREY-ENG.pdf) - [ISO 22301:2019](https://www.kireygroup.com/oven/media/ISO-22301-2019-ITA.pdf) #### Info **Kirey Srl ** [info@kireygroup.com](mailto:info@kireygroup.com) Viale Francesco Restelli, 5 20124 Milano [kirey@pec.it](mailto:kirey@pec.it) **PI/CF**: 06729880960 **REA**: MI 1910802 **Tel**: +39 02 78625200 Capitale sociale 1.089.620,00  [![Linkedin](https://newsroom.kireygroup.com/hs-fs/hubfs/Linkedin.png?width=20&name=Linkedin.png)](https://www.linkedin.com/company/kireygroup/)   - [Privacy Policy](https://www.kireygroup.com/oven/media/Kirey-Informativa-sito-internet-ex-art-13.pdf) - [Cookie Policy](https://www.kireygroup.com/oven/media/Kirey-Cookie-Policy-1.pdf) - [Termini e Condizioni](https://www.kireygroup.com/oven/media/Kirey-termini-e-condizioni-sito-internet-v2.pdf) [![KIREY\_LOGO\_PAYOFF\_RGB\_POS](https://newsroom.kireygroup.com/hs-fs/hubfs/KIREY_LOGO_PAYOFF_RGB_POS.png?width=200&height=72&name=KIREY_LOGO_PAYOFF_RGB_POS.png)](https://www.kireygroup.com/it) © Copyright 2026 by Kirey