Rischio di filiera: come proteggere fornitori e dati aziendali

C’è una frase, nell’ultimo rapporto NIS360 dell’ENISA, che vale più di molti allarmi. Ogni volta che un’organizzazione si affida a un fornitore, scrive l’agenzia europea per la cybersicurezza, sta implicitamente dando fiducia a chiunque quel fornitore abbia a sua volta scelto: chi ha costruito un componente, chi ha scritto una riga di codice, chi ospita i suoi dati.

Il rischio di filiera nasce dalla fiducia che si propaga

La compromissione di un solo anello può propagarsi a interi ecosistemi di settore, con un livello di rischio sistemico che le organizzazioni non avevano mai sperimentato prima.

I numeri della stessa agenzia dicono quanto quella fiducia sia poco presidiata. Il 90% delle organizzazioni dichiara di avere controlli sulla catena di fornitura, ma solo il 48% traduce quei controlli in requisiti di cybersecurity scritti nei contratti con i fornitori. Il 47% mette gli attacchi alla supply chain tra le principali preoccupazioni per gli anni a venire. Tra ciò che le aziende sanno e ciò che riescono a pretendere per contratto corre ancora molta distanza.

Perché conviene attaccare un fornitore invece di cento clienti

Il calcolo di chi attacca è cambiato di conseguenza. Perché colpire cento aziende una per una, quando si può fermare il fornitore del software che le fa funzionare tutte insieme? Nel settembre 2025 un attacco ransomware ai sistemi di check-in e imbarco di Collins Aerospace, usati da numerosi scali europei, ha mandato in tilt gli aeroporti di Bruxelles, Berlino e Dublino, costretti a imbarcare i passeggeri a mano per giorni. L’ENISA, l’agenzia europea per la cybersicurezza, ha confermato la natura ransomware dell’incidente. Un fornitore solo, e più aeroporti europei bloccati allo stesso tempo. Europol, nell’Internet Organised Crime Threat Assessment 2026, conferma la direzione: i gruppi criminali hanno preso di mira la catena di fornitura digitale per moltiplicare la portata degli attacchi, e nel 2025 ha censito oltre 120 marchi di ransomware attivi. Un singolo punto debole nella filiera vale molti obiettivi finali. È la ragione economica per cui il fornitore è diventato il bersaglio, e il cliente la vittima collaterale.

Il legislatore ha dato un nome, e un supervisore, al rischio di filiera

La risposta normativa europea ha smesso di essere teorica. Il 18 novembre 2025 le tre autorità di vigilanza dell’Unione (EBA, EIOPA ed ESMA) hanno designato i primi diciannove fornitori ICT considerati critici per il sistema finanziario (tra cui Amazon Web Services, Google Cloud, Microsoft, Oracle e Accenture, per citarne alcuni). Da quel momento alcuni fornitori tecnologici sono sorvegliati direttamente a livello europeo, e non più soltanto dai singoli clienti che li utilizzano. Il Regolamento (UE) 2022/2554, il DORA, istituisce questo quadro di sorveglianza per governare un problema che i contratti bilaterali faticano a contenere: il rischio di concentrazione, cioè la dipendenza di un intero settore da pochi fornitori infrastrutturali. Quando migliaia di entità finanziarie poggiano sullo stesso cloud o sullo stesso provider, il guasto di quell’anello diventa un problema di sistema.

Tre norme, tre strati della stessa catena

Le direttive e i regolamenti europei affrontano la filiera da angolazioni diverse, e messi insieme coprono i tre strati in cui il rischio si annida.

La NIS2, la Direttiva (UE) 2022/2555 recepita in Italia con il D.Lgs. 138/2024, mette la sicurezza della catena di approvvigionamento tra le misure obbligatorie di gestione del rischio (art. 21) e chiede più di una clausola generica: valutare le vulnerabilità specifiche di ogni fornitore diretto e la qualità delle sue pratiche di sicurezza, comprese le procedure di sviluppo sicuro del software. Per i soggetti italiani in perimetro la scadenza è vicina: entro ottobre 2026 vanno completate le misure di gestione del rischio e presidiata la filiera.

Il DORA presidia lo strato dei fornitori infrastrutturali critici, con la sorveglianza europea appena avviata. Il Cyber Resilience Act, il Regolamento (UE) 2024/2847, scende ancora più in basso, fino ai componenti software: rende obbligatorio per la prima volta in una legge l’inventario dei componenti di un prodotto digitale (il software bill of materials), e dall’11 settembre 2026 impone ai produttori di segnalare le vulnerabilità sfruttate attivamente. È la risposta a quella parte della frase dell’ENISA che di solito si trascura, la fiducia che senza saperlo riponiamo in chi ha scritto il codice che usiamo.

Sotto, resta il GDPR, che dal 2018 disciplina il rapporto con il responsabile del trattamento e i suoi subfornitori (art. 28), pretendendo garanzie e istruzioni documentate lungo tutta la catena di chi tratta i dati per conto dell’azienda.

Il punto cieco: il dato che resta prezioso anche fuori dalla filiera

C’è un motivo per cui tutto questo ruota attorno al dato, e non solo attorno ai sistemi. Europol registra un cambiamento nelle tattiche di estorsione: la pressione sulle vittime arriva sempre più dalla minaccia di tenere i dati sottratti riservati dietro riscatto invece di pubblicarli, segno, annota l’agenzia, dell’importanza che il dato ha assunto nell’economia digitale. Un dato che esce dalla filiera e resta leggibile conserva il suo valore per anni, a disposizione di chiunque lo detenga.

Qui la consapevolezza del rischio incontra la leva tecnica che può ridurlo. Affidarsi ai controlli del fornitore significa ereditare la sua postura di sicurezza, quella che si conosce e quella che non si vede. Legare la protezione al dato accorcia quella dipendenza: se il file resta cifrato e revocabile anche dentro i sistemi del terzo, la compromissione del fornitore smette di coincidere in automatico con la compromissione dei dati affidati. La catena resta lunga, ma il singolo anello che cede espone molto meno.

Dove conviene arrivare prima

Per anni la sicurezza della filiera è stata una clausola in fondo a un contratto e una voce in una checklist di fornitura. Oggi ha un supervisore europeo, un obbligo di inventario dei componenti e una data di scadenza sul calendario italiano. Il perimetro da difendere si è moltiplicato in tanti perimetri quanti sono i fornitori, e ognuno porta con sé i propri. Finché la protezione resta una proprietà dei sistemi, ogni nuovo anello aggiunto alla catena aggiunge una superficie da sorvegliare e un contratto da far rispettare. La resilienza che NIS2, DORA e il Cyber Resilience Act chiedono si costruisce a un livello più basso, sul dato, e si muove con lui lungo tutta la filiera. Conviene arrivarci prima che sia la compromissione di un fornitore a dimostrarlo.