L'Agenzia per la Cybersicurezza Nazionale (ACN) ha pubblicato nuove FAQ che chiariscono come i soggetti NIS2 devono identificare i propri fornitori rilevanti, con scadenza fissata al 31 maggio 2026. Due i punti chiave: le forniture intermediate e i rapporti infragruppo.

Forniture intermediate (FAQ FRN.8)

Le FAQ distinguono tra il fornitore che firma il contratto e quello che eroga e gestisce concretamente il servizio. Se l'azienda A sottoscrive il contratto ma l'azienda B gestisce il servizio, va censito chi lo eroga davvero. Un semplice rivenditore-intermediario non va indicato; se però cura anche la gestione applicativa, diventa un fornitore rilevante.

Fornitori infragruppo (FAQ FRN.9)

L'appartenenza allo stesso gruppo societario non esclude automaticamente un fornitore dalla rilevanza. Società controllate, centri di servizio condivisi e altre entità intragroup vanno valutati con gli stessi criteri applicati ai fornitori esterni.

Cosa devono fare le organizzazioni

In pratica, i soggetti NIS2 devono: mappare chi eroga realmente i servizi e non solo chi li contrattualizza; applicare Business Impact Analysis (BIA) e Third Party Risk Management (TPRM); includere le dipendenze infragruppo nella governance; documentare le scelte per le verifiche future.

Un percorso di adeguamento che richiede metodo e competenze specifiche: è qui che il supporto di partner come TIM Enterprise e Telsy aiuta le aziende ad affrontare la compliance NIS2 in modo strutturato.

Fonte: NIS2 e fornitori rilevanti: cosa cambia con le nuove FAQ di ACN — Cybersecurity360