Onboarding dei fornitori secondo la NIS2: che cosa richiede il § 30 BSIG per la catena di approvvigionamento?

La legge sul BSI, nella versione modificata dalla legge di recepimento della direttiva NIS2 (Gazzetta ufficiale federale, BGBl. 2025 I n. 301), distingue tra soggetti essenziali e soggetti importanti (§ 28 BSIG). Sono determinanti il tipo di soggetto secondo gli allegati 1 e 2 – ad esempio energia, trasporti, settore finanziario, servizi postali e di corriere o settore manifatturiero – e le dimensioni.

Un soggetto dell'allegato 1 è essenziale a partire da 250 dipendenti oppure da un fatturato annuo superiore a 50 milioni di euro e, al tempo stesso, un totale di bilancio superiore a 43 milioni di euro. Un soggetto degli allegati 1 o 2 è importante a partire da 50 dipendenti oppure da un fatturato e un totale di bilancio superiori ciascuno a 10 milioni di euro. Alcuni soggetti, come i gestori di impianti critici, vi rientrano indipendentemente dalle loro dimensioni.

I fornitori non devono rientrare essi stessi nell'ambito della legge per subirne gli effetti: i loro clienti devono dimostrare la sicurezza del rapporto di fornitura e quindi trasferiscono loro i requisiti.

Il § 30, comma 2, elenca dieci misure che la gestione del rischio deve comprendere come minimo. Il numero 4 cita la sicurezza della catena di approvvigionamento, compresi gli aspetti relativi alla sicurezza dei rapporti con i diretti fornitori o fornitori di servizi. Il numero 5 aggiunge la sicurezza dell'acquisizione, dello sviluppo e della manutenzione, compresi la gestione e la divulgazione delle vulnerabilità.

La direttiva (UE) 2022/2555 è più concreta su questo punto: ai sensi dell'art. 21, paragrafo 3, i soggetti tengono conto delle vulnerabilità specifiche di ciascun diretto fornitore nonché della qualità complessiva dei prodotti e delle pratiche di cibersicurezza dei loro fornitori. Questo paragrafo non è riprodotto testualmente nella legge tedesca; la relazione illustrativa (documento del Bundestag, BT-Drucksache 21/1501) lo richiama nelle note al § 30.

La legge non prescrive un questionario fisso. Si sono dimostrati utili quattro passaggi: classificare i fornitori in base alla criticità (con quali dati, sistemi e processi entrano in contatto?), definire requisiti minimi per ciascuna classe, verificarne il rispetto sulla base di documenti di prova e archiviare l'esito in modo da poterlo presentare in occasione di un audit.

I requisiti tipici riguardano la protezione degli accessi, come l'autenticazione a più fattori, la cifratura, la gestione delle vulnerabilità e delle patch, la preparazione alle emergenze, i canali di segnalazione degli incidenti di sicurezza e certificazioni come ISO/IEC 27001. Se il fornitore tratta dati personali per conto del cliente, si aggiunge il contratto ai sensi dell'art. 28 GDPR.

La verifica non è un'operazione una tantum: i certificati scadono, i subappaltatori cambiano, i requisiti evolvono. I controlli ricorrenti fanno quindi parte della gestione del rischio.

Ai sensi del § 33 BSIG, i soggetti interessati devono registrarsi presso il BSI al più tardi tre mesi dopo essere stati considerati per la prima volta un soggetto. Secondo il BSI, per i soggetti già interessati al momento dell'entrata in vigore questo termine è scaduto; devono provvedere alla registrazione senza indugio.

Gli organi di gestione devono attuare le misure di gestione del rischio e sorvegliarne l'attuazione (§ 38, comma 1, BSIG) e partecipare regolarmente a corsi di formazione (§ 38, comma 3, BSIG).

Ai sensi del § 65 BSIG, le violazioni del § 30 possono essere punite con sanzioni pecuniarie fino a 10 milioni di euro per i soggetti essenziali e fino a 7 milioni di euro per i soggetti importanti. Con un fatturato annuo mondiale superiore a 500 milioni di euro, il limite massimo è pari rispettivamente al 2% o all'1,4% di tale fatturato.

Vendo4u non rappresenta i requisiti come un questionario per ogni cliente, ma come un catalogo comune: i fornitori inseriscono una sola volta le proprie informazioni su sicurezza delle informazioni, protezione dei dati e continuità operativa e le comprovano con documenti associati a ciascun criterio. I buyer filtrano in base ai propri requisiti minimi, confrontano i fornitori ed esportano il profilo con i documenti di prova per la propria documentazione.

L'obbligo di valutazione resta in capo al soggetto. Vendo4u ne fornisce la base uniforme e tracciabile.