Il fornitore non è il rischio: la concentrazione sì

Nel 2026 migliaia di scuole e università si sono fermate nello stesso momento. Non avevano scelto male il fornitore: avevano scelto lo stesso fornitore. Instructure, la piattaforma usata per corsi e comunicazioni, è stata compromessa nel backend e l'analisi di Trend Micro ha contato 8.809 istituzioni coinvolte in 50 Paesi. Un solo nodo, un intero ecosistema.

È il modo più chiaro per guardare alla sicurezza della supply chain (la catena di fornitura). La domanda non è soltanto "questo fornitore è sicuro?". È anche "quanto dipendiamo da lui, e cosa succede se sparisce?". Sono due rischi diversi, e il secondo viene quasi sempre ignorato.

La terza parte è diventata il vettore

Il Data Breach Investigations Report 2026 di Verizon misura che il 48% delle violazioni coinvolge una terza parte, il 60% in più rispetto al dataset precedente. Lo sfruttamento di una vulnerabilità è la prima via d'accesso, al 31%; il ransomware compare nel 48% dei casi. ENISA, nel Threat Landscape 2025, attribuisce alla supply chain il 10,6% degli incidenti analizzati su 4.875 casi. Le definizioni non coincidono e i numeri non si sommano, ma la direzione è netta: il perimetro da difendere non finisce dove finisce l'azienda.

Poi c'è l'effetto a valle. Black Kite, su 136 eventi verificati, calcola 5,28 aziende colpite per ogni fornitore violato: 719 vittime nominate, circa 26.000 non nominate, 433 milioni di persone coinvolte. Un fornitore compromesso non è un incidente puntuale. È un moltiplicatore.

Il firewall aziendale protegge il perimetro che amministri. Non dice nulla su chi lo attraversa ogni giorno con credenziali legittime. Le tre strategie di base - mappatura, privilegio minimo, valutazione continua - restano il punto di partenza, ma governano la relazione con il fornitore, non l'architettura della dipendenza. Per quella serve un'altra unità di misura: il nodo.

Perché un questionario non basta

Una certificazione copre il perimetro dichiarato, non le dipendenze che stanno fuori. Black Kite misura un rilevamento mediano in 10 giorni contro una disclosure pubblica in 117: per quasi quattro mesi il cliente non sa. Nello stesso campione, il 70% dei 50 vendor più diffusi tra le aziende del Forbes Global 2000 aveva vulnerabilità note e non corrette nel catalogo KEV; il 62% aveva credenziali in stealer log, gli archivi usati dai malware per raccogliere password.

Il contratto, poi, fotografa un momento. La relazione dura anni e cambia subfornitori, Paesi, servizi. IBM, nel Cost of a Data Breach 2025, stima una compromissione da supply chain a 4,91 milioni di dollari, il 15% delle violazioni, con 267 giorni per rilevare e contenere. Il report 2026 porta il costo medio generale a 4,99 milioni, il 12% in più. Sono metriche diverse e non vanno sommate: 267 giorni è il ciclo detect-and-contain di IBM, 14 giorni è il dwell time mediano di Mandiant, 10 e 117 sono rilevamento e disclosure di Black Kite.

I casi recenti mostrano tre schemi. Change Healthcare, 2024: accesso remoto a un server esposto senza MFA, 192,7 milioni di persone coinvolte, 3,1 miliardi di dollari di costi di risposta. CDK Global, stesso anno: ransomware su un SaaS per concessionari, circa 15.000 concessionari fermi, 1,02 miliardi di perdite stimate. Salesloft Drift, 2025: token OAuth di un'applicazione usata per leggere istanze Salesforce, oltre 700 organizzazioni colpite. Le porte preferite sono identità, token, file transfer e accessi remoti. Il danno si misura in giorni di fermo e fiducia persa, non solo in record esposti.

La metrica che manca

Un fornitore può essere certificato, reattivo e trasparente, ed essere comunque un single point of failure (punto unico di guasto) per troppe attività. La concentrazione si misura su tre assi: per fornitore, cioè quanta parte delle funzioni critiche dipende da lui; per funzione, cioè quanti fornitori alternativi esistono davvero; per regione, cioè dove stanno dati ed esecuzione.

Il fornitore più piccolo può essere il più critico. Basta che gestisca l'unico collegamento tra due sistemi, o che nessuno abbia mai provato a sostituirlo. Il registro dei fornitori, da solo, non risponde: elenca i contratti, non le dipendenze. Serve un inventario separato che colleghi processi, dati, integrazioni e subfornitori, con un proprietario interno per ogni voce.

DORA, il regolamento europeo sulla resilienza operativa digitale applicabile dal 17 gennaio 2025, tratta la concentrazione come rischio autonomo. L'articolo 29 chiede di valutare subfornitura, catene lunghe e fornitori in Paesi terzi. Il 18 novembre 2025 le autorità di vigilanza europee hanno designato 19 fornitori ICT critici, tra cui AWS, Google Cloud, Microsoft, IBM, Oracle, SAP, Accenture, Capgemini e TCS. Un'azienda industriale non è soggetta a DORA, ma può usarne la struttura: registro, metrica di concentrazione, clausole verificabili. È un modello, non un obbligo.

Audit: prima le prove, poi le dichiarazioni

Un audit utile non è una visita generica. Si costruisce in sei passi, ognuno con un risultato verificabile.

1. Classificare per potere di danno, non per fatturato. Contano l'accesso a dati e sistemi critici, la rilevanza per le funzioni essenziali, la concentrazione, i subfornitori e la sostituibilità.
2. Chiedere evidenze. ISO/IEC 27001:2022 con il perimetro dichiarato, SOC 2 Type II con periodo e bridge letter (la lettera che copre il periodo tra la fine dell'audit e la data del report), TISAX se il settore è automotive, sintesi dell'ultimo penetration test, SBOM (la distinta dei componenti software), SLA di patching e storico degli incidenti.
3. Verificare la subfornitura. Elenco dei subfornitori che trattano dati o erogano parti critiche, Paesi di esecuzione e di conservazione, clausole applicate a valle. Una catena opaca resta un rischio anche se il fornitore diretto è certificato.
4. Fare un audit mirato. Interviste, campionamento e verifica delle promesse: MFA sui privilegiati, cifratura, segregazione, gestione delle vulnerabilità, backup, logging, risposta agli incidenti.
5. Trasformare le clausole in controlli. Notifica dell'incidente entro 24 ore, cooperazione, diritto di accesso e ispezione anche tramite terzo, localizzazione dei dati, gestione dei subfornitori, SLA quantitativi, continuità, piano di uscita, responsabilità e coperture.
6. Monitorare e testare. Rating esterni, threat intelligence, KEV, credenziali in stealer log, certificati e domini, cambi di subfornitori, scadenze delle certificazioni. Ogni alert deve avere un proprietario e un tempo di risposta.

La certificazione è il punto di partenza, non la prova. Il minimo accettabile comprende questionario, certificazioni verificabili, diritto di audit diretto o tramite terzo, clausole di sicurezza, notifica e uscita, monitoraggio continuo. Il resto va proporzionato al danno potenziale, non alla dimensione del contratto.

NIS2 e clausole: la conformità diventa commerciale

NIS2 chiede prove, non principi. L'articolo 21(2)(d) della direttiva (UE) 2022/2555 impone misure di sicurezza della catena di fornitura, incluse le relazioni con fornitori e service provider diretti. L'articolo 21(3) aggiunge di considerare le vulnerabilità specifiche di ciascun fornitore e la qualità di prodotti e pratiche, compresi i processi di sviluppo sicuro. L'articolo 23 fissa i tempi: allerta precoce entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. Le sanzioni dell'articolo 34 arrivano a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, e a 7 milioni o all'1,4% per gli importanti. In Italia il D.Lgs. 138/2024 è in vigore dal 16 ottobre 2024 e l'ACN è l'autorità competente.

L'effetto commerciale è immediato. NIS2 obbliga a governare i fornitori diretti, non l'intera filiera, ma un fornitore non soggetto alla direttiva riceverà comunque questionari e clausole dai clienti che lo sono. Chi non sa rispondere perde gare o accetta condizioni peggiori.

DORA spinge più avanti sul contenuto. L'articolo 28 chiede strategia sul rischio ICT di terze parti, registro delle informazioni e due diligence pre-contrattuale; l'articolo 30 elenca le clausole minime, dalla descrizione del servizio alla localizzazione dei dati, dall'accesso e recupero alla cooperazione con le autorità, dal diritto di ispezione alla strategia di uscita. Una clausola di notifica entro 24 ore vale solo se dall'altra parte esiste un processo capace di produrre l'informazione in 24 ore: l'incident response è il presupposto tecnico della clausola, non un allegato.

Il test che conta: puoi perderlo?

La resilienza non si compra con un questionario. Si misura con la capacità di perdere un nodo senza fermare il business. Il test è concreto: simulare la compromissione o la sparizione del fornitore con un'esercitazione da tavolo che coinvolga business, IT, legale e acquisti. Cosa si ferma per primo? Quanto tempo serve per migrare? I dati sono esportabili in un formato utilizzabile? Quali tempi di ripristino e quanta perdita di dati restano compatibili?

Tre numeri bastano per il board: percentuale di funzioni critiche con fornitore unico, tempo stimato di sostituzione, percentuale di subfornitori critici fuori dal registro. Se il tempo di sostituzione supera la tolleranza al fermo, la scelta non è tecnica ma di rischio accettato. L'accettazione è legittima solo se è scritta, con un proprietario e una data di revisione.

Qui entra anche il fattore umano. La sicurezza del fornitore passa dalle persone che ci lavorano e da come usano accessi e credenziali. Un programma di cybersecurity awareness esteso ad acquisti e business owner, non solo all'IT, riduce la probabilità che una decisione di fornitura venga presa senza guardare le dipendenze.

Da dove partire

Quattro passi, tutti alla portata di una settimana:

• Riprendere gli ultimi tre incidenti che hanno coinvolto un fornitore e ricostruire la catena: chi ha scoperto, quando, chi ha risposto.
• Aggiungere al registro fornitori tre colonne: funzioni critiche servite, subfornitori coinvolti, tempo stimato di sostituzione.
• Selezionare i cinque nodi con il punteggio di concentrazione più alto e chiedere per ciascuno le evidenze minime.
• Verificare che le clausole di notifica e audit siano esercitabili davvero, con un test su un fornitore reale.

Se il registro non basta a rispondere, il punto di partenza è un assessment della catena con priorità misurate. B2B Driven costruisce con le aziende il grafo delle dipendenze, definisce il perimetro di audit e mette sotto contratto i controlli che contano. Il primo passo è una call di 30 minuti sui cinque fornitori più critici: da lì si decide cosa ridurre, cosa diversificare e cosa accettare per iscritto.