# NIS2 e la supply chain: dove la governance incontra il contratto > SwissGRC® spiega cosa richiede l'articolo 21 della NIS2 per la sicurezza della supply chain, quali sanzioni valgono e come ripartire la responsabilità tra sicurezza IT, risk management e procurement. Si rivolge a entità essenziali e importanti. - URL: https://swissgrc.com/it/nis2-supply-chain-governance-obblighi-contrattuali/ - Editore: SwissGRC® - Pubblicato: 2026-09-09 - Ultimo aggiornamento: 2026-09-09 ## Punti chiave - L'articolo 21, paragrafo 2, lettera d), della direttiva NIS2 elenca esplicitamente la sicurezza della supply chain, comprese le relazioni con fornitori diretti e prestatori di servizi, tra le misure di gestione del rischio. - Ai sensi dell'articolo 34 NIS2 le entità essenziali rischiano sanzioni fino a 10 milioni di euro o al 2 percento del fatturato annuo mondiale, le entità importanti almeno 7 milioni di euro o l'1,4 percento. - L'articolo 21, paragrafo 3, impone di considerare le vulnerabilità specifiche di ogni fornitore e la qualità dei suoi prodotti e delle sue prassi di cibersicurezza. - La legge tedesca di attuazione della NIS2 è entrata in vigore il 6 dicembre 2025 e la Sezione 65 BSIG comprende 17 categorie di infrazioni, da 100.000 a 10 milioni di euro. - I fornitori svizzeri sono coinvolti non da una propria legge, ma dalle clausole contrattuali che un cliente UE trasferisce a valle per adempiere all'articolo 21. - Nessuna delle fonti esaminate prescrive una ripartizione dei compiti come requisito normativo, ma la struttura dell'articolo 21 suggerisce sicurezza IT per i criteri tecnici, risk management per l'aggregazione e procurement per le clausole contrattuali. La direttiva NIS2 impone alle entità essenziali e importanti di gestire attivamente la sicurezza della propria supply chain, non semplicemente di documentarla. Le organizzazioni che ignorano questo obbligo rischiano lo stesso quadro sanzionatorio previsto per la violazione dell’obbligo di notifica o dei più ampi requisiti di gestione del rischio. L’attenzione generata da questa minaccia riporta al centro una questione aperta in molte organizzazioni: quale funzione è responsabile quando un fornitore diventa un rischio. In breve L’articolo 21 della direttiva NIS2 elenca esplicitamente la sicurezza della supply chain tra le misure di gestione del rischio e lega le violazioni allo stesso quadro sanzionatorio previsto per gli altri obblighi fondamentali. La responsabilità può essere ripartita in modo chiaro quando la sicurezza IT fornisce i criteri tecnici, il risk management aggrega la valutazione e il procurement la traduce in clausole contrattuali applicabili. 10mln EUR Sanzione massima per le entità essenziali ai sensi dell’articolo 34 NIS2 nis-2-richtlinie.com, NIS2 sanctions, 16.05.2026 86% Organizzazioni con una policy di sicurezza della supply chain ICT/OT, indagine ENISA 2022 CIP Association, sintesi del rapporto ENISA Good Practices for Supply Chain Cybersecurity 17infrazioni Infrazioni sanzionabili ai sensi della Sezione 65 BSIG secjur, NIS2 fines, 28.07.2026 ## Cosa richiede l’articolo 21 della direttiva NIS2 per la supply chain? L’articolo 21, paragrafo 2, lettera d), elenca esplicitamente la sicurezza della supply chain, comprese le relazioni con i fornitori diretti e i prestatori di servizi, tra le misure di gestione del rischio richieste. Il paragrafo 3 dello stesso articolo precisa ulteriormente questo obbligo: nella scelta delle misure appropriate, le entità devono tenere conto delle vulnerabilità specifiche di ciascun singolo fornitore, così come della qualità complessiva dei suoi prodotti e delle sue prassi di cibersicurezza. A livello dell’Unione, l’articolo 22 integra questo obbligo individuale con valutazioni coordinate del rischio per le supply chain critiche. Ciò dimostra che il legislatore considera il rischio di supply chain come un tema distinto e rilevante a livello europeo, e non come un’appendice della gestione del rischio interna. ## Quanto è stretto il legame tra sanzione e inadempienza nella supply chain? Le violazioni dell’articolo 21 sono sanzionate secondo lo stesso quadro previsto per gli altri obblighi fondamentali della direttiva, fino a 10 milioni di euro o al 2 percento del fatturato annuo mondiale per le entità essenziali. L’articolo 34 della direttiva NIS2 definisce questo quadro e prevede, per le entità importanti, in caso di violazione dell’articolo 21 o dell’articolo 23, un importo massimo di almeno 7 milioni di euro o dell’1,4 percento del fatturato annuo mondiale. Ciò pone una gestione inadeguata dei fornitori sullo stesso piano regolamentare, in termini sanzionatori, di una notifica mancata o dell’assenza di un piano di continuità. Per la funzione di governance, ciò significa che la valutazione del rischio fornitori richiede lo stesso livello di evidenza documentale delle altre misure previste dall’articolo 21. ![Visualizzazioni del modulo TPRM della SwissGRC Platform: cruscotto dei rischi, catalogo dei servizi e valutazione della criticità](https://swissgrc.com/wp-content/uploads/sites/2/2026/09/Isometric-screenshots-net-background-1024x572.png) Visualizzazioni del modulo TPRM della SwissGRC Platform: cruscotto dei rischi, catalogo dei servizi e valutazione della criticità ## Cosa rivela l’attuazione tedesca sul meccanismo sanzionatorio? La Sezione 30, paragrafo 2, punto 4, del BSIG traduce l’obbligo relativo alla supply chain in un requisito concreto di misure, e la Sezione 65 BSIG lo rafforza con un catalogo sanzionatorio a più livelli. La legge tedesca di attuazione della NIS2 è entrata in vigore il 6 dicembre 2025, attivando le disposizioni sanzionatorie della Sezione 65 BSIG. Secondo secjur, la disposizione comprende in totale 17 categorie di infrazioni, che vanno da 100.000 euro per negligenza a 10 milioni di euro per mancanza di misure di gestione del rischio o violazione dell’obbligo di notifica. Ai sensi della Sezione 65, paragrafo 8, BSIG, l’Ufficio federale tedesco per la sicurezza informatica può utilizzare come base di calcolo il fatturato mondiale del gruppo e, in caso di dubbio, stimarlo. Ciò estende la base di valutazione anche alle relazioni con i fornitori all’interno di un gruppo. ## Perché i fornitori svizzeri sono comunque coinvolti? La direttiva NIS2 si applica formalmente solo all’interno dell’UE, eppure le aziende svizzere entrano nella sua sfera di influenza non appena un cliente UE trasferisce contrattualmente i propri obblighi di sicurezza ai fornitori. Secondo ncloud.swiss, le aziende svizzere non sono destinatarie di una propria legge, ma di clausole contrattuali che un cliente UE trasferisce a valle per adempiere al proprio obbligo ai sensi dell’articolo 21. La legge svizzera sulla sicurezza delle informazioni, nella sua versione rivista, si rivolge principalmente alle autorità federali e agli operatori di infrastrutture critiche e, a differenza della NIS2, non prevede una responsabilità personale della direzione. Per i fornitori svizzeri, ciò significa che l’applicazione effettiva non avviene tramite una legge, ma tramite il contratto di fornitura con il cliente UE. ## Come può essere ripartita la responsabilità tra procurement, risk management e sicurezza IT? Nessuna delle fonti esaminate prescrive una ripartizione come requisito normativo, ma la struttura dell’articolo 21 suggerisce una divisione dei compiti lungo la catena di processo. La sicurezza IT valuta i criteri tecnici indicati all’articolo 21, paragrafo 3: le vulnerabilità specifiche di un fornitore e la qualità delle sue prassi di cibersicurezza. Il risk management riunisce queste singole valutazioni nell’ambito della Third-Party Risk Governance e le inserisce nel quadro complessivo dell’appetito al rischio. Il procurement traduce il risultato in clausole contrattuali applicabili in caso di controversia, come diritti di audit o termini di notifica per gli incidenti di sicurezza. L’articolo 20 impone agli organi di gestione di approvare le misure di gestione del rischio e di sovrintendere alla loro attuazione. Senza una ripartizione documentata delle tre funzioni, questo dovere di supervisione può difficilmente essere dimostrato in modo credibile. Un primo passo verificabile consiste, per il risk management, nel compilare entro i prossimi tre mesi un registro dei fornitori diretti che documenti i criteri dell’articolo 21, paragrafo 3, per ciascun fornitore, e nel consegnare tale registro al procurement come base per la prossima negoziazione contrattuale. Correlato ### Rilevare e gestire il rischio fornitori in modo strutturato Third-Party Risk Management riunisce la valutazione delle vulnerabilità e lo stato contrattuale per ciascun fornitore. Rende visibile dove risk management e procurement valutano diversamente lo stesso fornitore. [Third-Party Risk Management](https://swissgrc.com/it/tprm-software/) Per la pratica ## Punti chiave - L’articolo 21, paragrafo 2, lettera d), fa della sicurezza della supply chain un obbligo fondamentale della gestione del rischio NIS2, non un’aggiunta facoltativa. - La violazione dell’obbligo relativo alla supply chain è sanzionata secondo lo stesso quadro previsto per la violazione delle altre misure di gestione del rischio. - I fornitori svizzeri sono coinvolti non da una propria legge, ma da clausole contrattuali imposte dai clienti UE. - Una ripartizione dei compiti ragionevole affida la valutazione tecnica alla sicurezza IT, l’aggregazione del rischio al risk management e l’attuazione contrattuale al procurement. - Senza una responsabilità documentata, il dovere di supervisione degli organi di gestione previsto dall’articolo 20 può difficilmente essere dimostrato. FAQ ## Domande frequenti Cosa succede se un’azienda viola l’obbligo relativo alla supply chain ai sensi della NIS2? Una violazione dell’obbligo relativo alla supply chain ai sensi dell’articolo 21 è sanzionata secondo lo stesso quadro previsto per gli altri obblighi fondamentali della direttiva NIS2. Le entità essenziali rischiano sanzioni fino a 10 milioni di euro o al 2 percento del fatturato annuo mondiale, le entità importanti almeno 7 milioni di euro o l’1,4 percento. La NIS2 si applica anche alle aziende svizzere senza presenza nell’UE? La direttiva NIS2 si applica formalmente solo all’interno dell’UE. I fornitori svizzeri entrano comunque nella sua sfera di influenza quando un cliente UE trasferisce contrattualmente i propri obblighi ai sensi dell’articolo 21. L’applicazione avviene quindi non tramite una legge, ma tramite clausole contrattuali nel contratto di fornitura con il cliente UE. Quale livello di sanzione è previsto per le violazioni dell’articolo 21? L’articolo 34 della direttiva NIS2 prevede per le entità essenziali sanzioni fino a 10 milioni di euro o al 2 percento del fatturato annuo mondiale, e per le entità importanti almeno 7 milioni di euro o l’1,4 percento. L’attuazione tedesca nella Sezione 65 BSIG comprende 17 infrazioni sanzionabili a più livelli, da 100.000 euro a 10 milioni di euro. Chi, all’interno di un’azienda, dovrebbe essere responsabile della valutazione del rischio fornitori? Una ripartizione dei compiti ragionevole affida la valutazione tecnica delle vulnerabilità e delle prassi di cibersicurezza alla sicurezza IT. Il risk management aggrega queste valutazioni e le inserisce nel quadro complessivo dell’appetito al rischio. Il procurement traduce il risultato in clausole contrattuali applicabili, come diritti di audit o termini di notifica. Cosa significa l’articolo 22 della direttiva NIS2 per le supply chain critiche? L’articolo 22 integra l’obbligo individuale relativo alla supply chain previsto dall’articolo 21 con valutazioni coordinate del rischio a livello dell’Unione per le supply chain critiche. Ciò dimostra che il legislatore considera il rischio di supply chain come un tema distinto e rilevante a livello europeo, e non semplicemente come parte della gestione del rischio interna delle singole entità. Fonti 1. [Articolo 21 della direttiva NIS2: misure di gestione del rischio](https://nis2-umsetzung.com/nis2-richtlinie/artikel-21-risikomanagementmassnahmen-im-bereich-der-cybersicherheit/)nis2-umsetzung.com 2. [Infrazioni sanzionabili ai sensi della Sezione 65 BSIG](https://www.secjur.com/blog/nis2-strafen)secjur ## Domande frequenti ### Cosa richiede l'articolo 21 della NIS2 per la supply chain? L'articolo 21, paragrafo 2, lettera d), elenca la sicurezza della supply chain tra le misure di gestione del rischio richieste. Il paragrafo 3 prevede che le entità tengano conto delle vulnerabilità specifiche di ciascun fornitore e della qualità delle sue prassi di cibersicurezza. ### Quali sanzioni prevede la NIS2 per le violazioni dell'articolo 21? Per le entità essenziali la sanzione arriva fino a 10 milioni di euro o al 2 percento del fatturato annuo mondiale. Per le entità importanti l'importo massimo è di almeno 7 milioni di euro o l'1,4 percento. ### La NIS2 riguarda anche i fornitori svizzeri? La direttiva si applica formalmente solo nell'UE. I fornitori svizzeri sono però coinvolti quando un cliente UE trasferisce contrattualmente i propri obblighi di sicurezza, quindi l'applicazione avviene tramite il contratto di fornitura. ### Chi è responsabile del rischio fornitori: procurement, risk management o sicurezza IT? Nessuna fonte esaminata prescrive una ripartizione, ma l'articolo 21 ne suggerisce una. La sicurezza IT fornisce i criteri tecnici, il risk management aggrega la valutazione e il procurement la traduce in clausole contrattuali, come diritti di audit o termini di notifica degli incidenti. ### Cosa stabilisce l'articolo 22 della NIS2? L'articolo 22 integra l'obbligo individuale dell'articolo 21 con valutazioni coordinate del rischio per le supply chain critiche a livello dell'Unione.