Daniel Bermejo · Co-founder & Technology Lead, Trusty · Serial founder, ex PwC, IBM e Roche · Ex Managing Director, Startup Invest
Un fornitore di servizi cloud subisce un’interruzione.
Un fornitore di software subisce una violazione dei dati.
Un fornitore di servizi di sicurezza gestiti viene compromesso.
Un subappaltatore introduce una vulnerabilità nella Sua rete.
Sia ai sensi del DORA che della NIS2, affermare che “il problema si è verificato presso il nostro fornitore” non esonera necessariamente la Sua azienda dalle proprie responsabilità.
Ma i due regimi di cybersicurezza dell’UE affrontano il rischio di terze parti in modo diverso.
in un'unica piattaforma
Tenga le prove sui fornitori sempre pronte per l’audit. Monitori quali fornitori supportano funzioni critiche, raccolga la due diligence e conservi le prove richieste dalle autorità di vigilanza, tutto in un unico posto.
DORA vs NIS2 a colpo d'occhio
DORA | NIS2 | |
|---|---|---|
Nome completo | Regolamento sulla resilienza operativa digitale | Direttiva NIS2 |
Focus principale | Resilienza operativa digitale nel settore finanziario | Cybersicurezza nei settori essenziali e importanti |
Focus sulle terze parti | Fornitori terzi di servizi TIC | Fornitori diretti e fornitori di servizi rilevanti per la cybersicurezza e la sicurezza della supply chain |
Registro dei fornitori | Registro dettagliato degli accordi contrattuali TIC | Nessun obbligo di registro generale paragonabile a quello del DORA |
Valutazione della criticità | Focus principale | Valutazione della supply chain basata sul rischio |
Requisiti contrattuali | Requisiti dettagliati, soprattutto per le funzioni essenziali o importanti | I requisiti di cybersicurezza dovrebbero essere affrontati nei rapporti con i fornitori, se del caso |
Subappalto | Particolarmente rilevante nell'ambito del quadro DORA | I rischi della supply chain possono estendersi oltre i fornitori diretti |
La responsabilità può essere esternalizzata? | No | Nessun semplice trasferimento della responsabilità in materia di cybersicurezza |
Regolamento o direttiva? | Regolamento UE | Direttiva recepita tramite normativa nazionale |
Cosa richiede il DORA per il rischio di terze parti?
Il DORA si applica a un’ampia gamma di soggetti finanziari e crea un quadro dedicato per la gestione del rischio di terze parti TIC.
Il suo principio di base è semplice:
L’utilizzo di un fornitore TIC esterno non esternalizza la Sua responsabilità normativa.
Un soggetto finanziario resta responsabile della conformità al DORA anche quando un servizio TIC è fornito da terzi.
Ciò rende la supervisione dei fornitori una questione di governance continua, non un semplice adempimento legato agli acquisti.
Quali terze parti rientrano nel DORA?
Il DORA si concentra sui fornitori terzi di servizi TIC.
Gli esempi possono includere fornitori di:
- infrastruttura cloud;
- software;
- hosting di dati;
- data center;
- servizi IT gestiti;
- servizi di cybersicurezza;
- elaborazione dati;
- piattaforme tecnologiche;
- infrastruttura di rete;
- alcune funzioni TIC esternalizzate.
La questione chiave è se la terza parte fornisce un servizio TIC utilizzato dal soggetto finanziario.
Non tutti i fornitori necessitano quindi dello stesso trattamento ai sensi del DORA.
Il fornitore del caffè per l’ufficio non rientra nella stessa categoria di rischio della piattaforma cloud che gestisce un processo bancario fondamentale.
E le funzioni essenziali o importanti?
Il DORA pone particolare enfasi sui servizi TIC che supportano una funzione essenziale o importante.
Prima di stipulare determinati accordi TIC, le entità finanziarie devono valutare fattori quali il fatto che il servizio supporti una funzione essenziale o importante e i rischi derivanti dall’accordo.
Ciò può influenzare:
- la due diligence;
- i requisiti contrattuali;
- l’analisi del rischio di concentrazione;
- il monitoraggio;
- i diritti di audit/accesso;
- la pianificazione dell’uscita;
- i controlli sul subappalto.
Questo significa che la classificazione dei fornitori è importante.
Un inventario DORA utile non dovrebbe limitarsi a indicare:
Fornitore: Cloud Company
Dovrebbe invece includere qualcosa di più simile a:
Fornitore → servizio TIC → funzione aziendale → criticità → dati → ubicazione → subappaltatori → rischio → contratto → monitoraggio → strategia di uscita
Il DORA richiede un registro dei fornitori terzi?
Il DORA richiede ai soggetti finanziari di mantenere un registro di informazioni relativo agli accordi contrattuali per i servizi TIC forniti da fornitori terzi di servizi TIC.
Questa è una delle differenze più evidenti tra il DORA e un generico programma di gestione dei fornitori.
L’organizzazione deve conoscere non solo chi sono i propri fornitori, ma anche come i servizi TIC si collegano agli accordi contrattuali e alle funzioni aziendali.
Questo registro è importante anche per garantire alle autorità di vigilanza visibilità sulle dipendenze TIC.
È necessario monitorare allo stesso modo ogni fornitore TIC ai sensi del DORA?
No.
Il DORA utilizza esplicitamente il principio di proporzionalità.
Il livello di supervisione dovrebbe considerare fattori quali:
- la natura della dipendenza TIC;
- dimensioni e complessità;
- importanza del servizio;
- se supporta una funzione essenziale o importante;
- il potenziale impatto di un’interruzione;
- rischio di concentrazione;
- sostituibilità;
- subappalto;
- dipendenze geografiche o operative.
Ne deriva un approccio graduato al rischio dei fornitori.
Identifichi tutti gli accordi TIC rilevanti → li classifichi → applichi controlli più rigorosi dove il rischio è maggiore.
TIC critici
Deve dimostrare una supervisione proporzionata? Trusty monitora quali fornitori supportano funzioni essenziali o importanti, raccoglie la due diligence e conserva le prove richieste dalle autorità di vigilanza, tutto in un unico posto.
Cosa richiede la NIS2 per le terze parti?
La NIS2 adotta un approccio più ampio alla cybersicurezza e alla supply chain.
L’articolo 21 richiede ai soggetti essenziali e importanti di attuare misure di gestione del rischio di cybersicurezza adeguate e proporzionate.
Una delle misure specificamente elencate è:
la sicurezza della catena di approvvigionamento, compresi gli aspetti relativi alla sicurezza nei rapporti tra ciascun soggetto e i suoi fornitori diretti o fornitori di servizi.
Ciò significa che la cybersicurezza dei fornitori fa esplicitamente parte della compliance alla NIS2.
Quali fornitori dovresti valutare ai sensi della NIS2?
La NIS2 pone particolare enfasi sui fornitori diretti e sui prestatori di servizi.
Nel decidere quali misure siano appropriate, le organizzazioni dovrebbero considerare:
- vulnerabilità specifiche di ogni fornitore diretto o prestatore di servizi;
- la qualità complessiva dei loro prodotti;
- pratiche di cybersicurezza;
- procedure di sviluppo sicuro;
- resilienza di servizi o prodotti;
- dipendenze rilevanti della supply chain.
L’analisi va quindi oltre la semplice verifica del possesso di una certificazione di cybersicurezza da parte del fornitore.
Deve capire quale rischio il fornitore introduce nella Sua rete e nei Suoi sistemi informativi.
Quali tipi di fornitori NIS2 creano un rischio particolare?
A seconda dell’organizzazione, le terze parti rilevanti possono includere:
- fornitori cloud;
- data center;
- fornitori di software;
- fornitori SaaS;
- fornitori di servizi gestiti;
- fornitori di servizi di sicurezza gestiti;
- consulenti IT;
- fornitori di hosting;
- fornitori di comunicazioni;
- fornitori di hardware critico;
- fornitori di elaborazione dati.
La NIS2 evidenzia in particolare i rischi legati a fornitori come i servizi di archiviazione ed elaborazione dei dati, i fornitori di servizi di sicurezza gestiti e i fornitori di software.
La NIS2 copre solo i fornitori diretti?
Il requisito normativo sulla sicurezza della supply chain fa riferimento specificamente agli aspetti di sicurezza dei rapporti con i fornitori diretti o fornitori di servizi.
Ma questo non significa che i rischi più profondi della supply chain possano essere sempre ignorati.
I considerando della NIS2 riconoscono espressamente che le organizzazioni possono considerare i rischi derivanti da altri livelli di fornitori e prestatori di servizi.
Ciò diventa particolarmente rilevante quando:
- un fornitore critico fa forte affidamento su un subappaltatore;
- il software incorpora componenti di terze parti vulnerabili;
- esiste un singolo punto di guasto (single point of failure);
- un fornitore ha una significativa concentrazione geografica;
- un fornitore dipende da un altro fornitore di infrastrutture critiche.
La domanda pratica quindi non è semplicemente:
“È un nostro fornitore diretto?”
Ma anche:
“Una dipendenza più profonda potrebbe compromettere in modo rilevante la nostra cybersicurezza?”
DORA vs NIS2: chi dovresti monitorare?
Una distinzione utile è la seguente:
Ai sensi del DORA
Inizi mappando i Suoi fornitori terzi di servizi TIC.
Poi identifichi quali servizi supportano funzioni essenziali o importanti.
Questi accordi meritano una valutazione particolarmente rigorosa, controlli contrattuali solidi e una supervisione continua.
Ai sensi della NIS2
Inizi dai fornitori diretti e fornitori di servizi che possono incidere sulla sicurezza della Sua rete e dei Suoi sistemi informativi.
Poi valuta se dipendenze indirette importanti creano un ulteriore rischio informatico rilevante.
Esempio: utilizzo di Microsoft Azure
Supponiamo che un’azienda finanziaria si affidi a un importante fornitore cloud per l’infrastruttura che supporta una funzione critica.
Ai sensi del DORA, tale accordo è chiaramente rilevante per il quadro del rischio derivante da terzi fornitori di servizi TIC dell’organizzazione.
L’organizzazione potrebbe dover considerare:
- criticità del servizio;
- disposizioni contrattuali;
- disponibilità;
- ubicazione dei dati;
- sicurezza;
- diritti di audit e accesso;
- subappalto;
- rischio di concentrazione;
- opzioni di uscita.
Se tale organizzazione rientra anche nell’ambito della NIS2, lo stesso rapporto con il fornitore potrebbe essere rilevante per la cybersicurezza della supply chain.
Il fornitore sottostante è lo stesso.
Il motivo giuridico per valutarlo invece cambia.
Esempio: fornitore di buste paga
Consideri un fornitore esterno di software SaaS per l’elaborazione delle buste paga.
Ai sensi del DORA, la prima domanda è se il servizio rientra nel quadro pertinente sui servizi TIC di terzi e quali funzioni supporta.
Ai sensi della NIS2, l’azienda dovrebbe valutare se la compromissione del fornitore potrebbe creare un rischio di cybersicurezza rilevante.
Il livello di rischio risultante potrebbe essere considerevolmente inferiore rispetto a quello dell’infrastruttura cloud principale dell’organizzazione.
Per questo motivo, applicare lo stesso questionario e lo stesso calendario di revisione a ogni fornitore raramente è l’approccio migliore.
non va bene per tutti i fornitori
Valuti i fornitori in base al rischio, non per abitudine. Trusty esamina i fornitori TIC e i fornitori critici per individuare rischi di compliance, invia richieste di due diligence e monitora i risultati su un’unica piattaforma. Oppure prenoti una demo.
Cosa dovresti controllare prima di avviare un rapporto con una terza parte?
Per i fornitori TIC a rischio più elevato, la due diligence utile può includere:
Identità aziendale
Verifichi con quale entità giuridica stai effettivamente stipulando il contratto.
Proprietà
Comprendi i rapporti di proprietà e di gruppo rilevanti.
Esposizione a sanzioni
Verifichi se l’azienda o le parti controllanti rilevanti presentano problemi legati a sanzioni.
Notizie negative (adverse media)
Cerca notizie attendibili riguardanti:
- incidenti informatici;
- provvedimenti delle autorità;
- falle di sicurezza;
- frodi;
- cattiva condotta;
- interruzioni gravi;
- violazioni dei dati.
Controlli di cybersicurezza
Valuti le pratiche di sicurezza e le certificazioni rilevanti.
Subappaltatori
Determina se le funzioni critiche dipendono da altri fornitori.
Rischio di concentrazione
Chiediti cosa succede se diversi servizi critici si affidano allo stesso fornitore.
Area geografica
Comprendi dove vengono forniti i servizi e i dati e dove esistono dipendenze critiche.
Continuità operativa
Valuti come il fornitore risponde alle interruzioni.
Pianificazione dell’uscita
Determina se il servizio potrebbe realisticamente essere trasferito a un altro fornitore.
Il rischio di terze parti non è quindi solo un esercizio di sicurezza IT.
Può richiedere la combinazione di informazioni di cybersicurezza, aziendali, di compliance, operative e reputazionali.
Il DORA è più prescrittivo riguardo ai fornitori TIC
Uno dei modi più utili per comprendere la differenza è considerare che il DORA costruisce un’architettura normativa esplicita attorno ai rapporti con terze parti TIC.
I soggetti finanziari devono integrare il rischio di terze parti nel proprio quadro di gestione del rischio TIC e mantenere informazioni strutturate sugli accordi contrattuali TIC.
La NIS2 istituisce un obbligo di cybersicurezza più ampio e include espressamente al suo interno la sicurezza della supply chain.
Quindi:
Il DORA approfondisce l’esternalizzazione TIC e la governance dei fornitori.
La NIS2 integra i fornitori all’interno della gestione complessiva del rischio di cybersicurezza.
Cosa succede se si applicano sia il DORA che la NIS2?
Per le entità finanziarie, il DORA è particolarmente importante perché il diritto dell’UE lo considera il quadro settoriale di cybersicurezza per le entità finanziarie che rientrano nel suo ambito, nelle aree in cui le sue disposizioni si qualificano come norme specifiche del settore.
Ciò significa che le organizzazioni non dovrebbero semplicemente duplicare ogni controllo in due programmi di compliance separati.
Dovrebbero invece determinare:
- quale entità rientra nell’ambito di applicazione;
- quale requisito normativo disciplina la questione specifica;
- quali fornitori e servizi TIC sono coinvolti;
- se un singolo controllo può generare prove a supporto di più obblighi di compliance.
Un inventario unificato dei fornitori può essere di grande aiuto.
Un modello pratico di monitoraggio dei fornitori
Invece di mantenere un foglio di calcolo per il DORA, un altro per la NIS2 e un altro ancora per gli acquisti, crea un inventario condiviso delle terze parti.
Per esempio:
Fornitore
↓
Entità giuridica + proprietà
↓
Servizio fornito
↓
TIC / non TIC
↓
Funzione aziendale supportata
↓
Criticità
↓
Rischio di cybersicurezza
↓
Sanzioni / rischio reputazionale
↓
Subappaltatori
↓
Controlli contrattuali
↓
Frequenza di monitoraggio
↓
Incidenti / cambiamenti
Ciò consente ai team di compliance di applicare diverse regole normative agli stessi dati sottostanti del fornitore.
di terze parti
Una vista unica di ogni fornitore. Esamini i fornitori TIC e i fornitori critici per individuare rischi di compliance, invii richieste di due diligence e monitori i risultati su un’unica piattaforma, invece di fogli di calcolo separati per DORA e NIS2.
È necessario un monitoraggio continuo dei fornitori?
Nessuno dei due regimi implica che ogni singola informazione sul fornitore debba essere letteralmente controllata ogni secondo.
Tuttavia, la gestione del rischio di terze parti non può ragionevolmente fermarsi all’onboarding.
Il rischio cambia.
Un fornitore può:
- subire un attacco informatico;
- subire un’interruzione grave;
- cambiare proprietà;
- ricevere sanzioni dalle autorità;
- comparire in notizie negative;
- cambiare subappaltatori;
- modificare le sedi di servizio;
- trovarsi in difficoltà finanziarie.
I fornitori a rischio più elevato giustificano quindi un monitoraggio continuo proporzionato all’importanza e al rischio del rapporto.
Domande frequenti
Sì. I soggetti finanziari coperti devono gestire il rischio di terze parti TIC come parte del proprio quadro di gestione del rischio TIC. Ciò include una supervisione continua proporzionata alla natura e all'importanza della dipendenza TIC.
Sì. La NIS2 richiede esplicitamente misure di sicurezza della supply chain e impone ai soggetti di considerare le vulnerabilità e le pratiche di cybersicurezza associate ai fornitori diretti e ai fornitori di servizi.
Il DORA si concentra sui fornitori terzi di servizi TIC utilizzati dai soggetti finanziari coperti. I requisiti diventano particolarmente significativi quando un servizio TIC supporta una funzione essenziale o importante.
I requisiti della NIS2 sulla supply chain si concentrano in particolare sui fornitori diretti e sui fornitori di servizi rilevanti per la sicurezza della rete e dei sistemi informativi dell'organizzazione.
Il requisito principale riguarda specificamente i rapporti diretti con fornitori o fornitori di servizi, ma la NIS2 riconosce che le organizzazioni possono considerare anche i rischi derivanti da livelli più profondi della supply chain.
No. Entrambi i quadri normativi prevedono un approccio basato sul rischio e proporzionato. I fornitori che supportano funzioni critiche o creano una maggiore dipendenza in termini di cybersicurezza giustificano generalmente controlli più rigorosi.
No. Il DORA stabilisce espressamente che i soggetti finanziari restano responsabili della compliance normativa quando utilizzano fornitori terzi di servizi TIC.
Il DORA funge da normativa settoriale dell'UE in materia di cybersicurezza per i soggetti finanziari coperti nelle aree rilevanti. L'interazione tra i due quadri normativi va valutata requisito per requisito, senza presumere che ogni disposizione della NIS2 scompaia semplicemente.
In sintesi
Il DORA e la NIS2 giungono alla stessa conclusione fondamentale:
Il Suo rischio di cybersicurezza non si ferma ai confini della Sua organizzazione.
Ma affrontano il rischio dei fornitori in modo diverso.
DORA: identifichi e gestisca le dipendenze da terze parti TIC, con controlli particolarmente rigorosi sui servizi che supportano funzioni essenziali o importanti.
NIS2: protegga la sicurezza della Sua supply chain, in particolare i rapporti con i fornitori diretti e i fornitori di servizi.
Per le aziende soggette a uno dei due quadri normativi, il primo passo pratico è quindi lo stesso:
Sapere chi sono effettivamente le Sue terze parti, cosa forniscono, da cosa dipendono e come cambia il loro rischio nel tempo.
Un flusso di lavoro per lo screening e il monitoraggio delle terze parti può aggiungere un ulteriore livello a tale valutazione, controllando continuamente i fornitori per l’esposizione alle sanzioni, il rischio di proprietà e le notizie negative, insieme ai controlli operativi e di cybersicurezza.
Fonti esterne:
EUR-Lex, Regolamento sulla resilienza operativa digitale (DORA)
EUR-Lex, Direttiva NIS2
Letture correlate: come i soggetti finanziari devono monitorare i fornitori TIC ai sensi del DORA, come le PMI possono soddisfare i requisiti NIS2 con un semplice processo di segnalazione delle vulnerabilità, e screening delle terze parti per le PMI.
SCREENING DEL RISCHIO DI TERZE PARTI
QuickScreen360: esamina fornitori e partner per individuare rischi di compliance. Invii richieste di due diligence, assegni formazione e monitori i risultati su un’unica piattaforma.