LET’S TALK & CONNECT

La sicurezza della supply chain è oggi una leva strategica per la resilienza aziendale e non rappresenta più un adempimento imposto dal legislatore, ma un elemento strutturale della continuità operativa dell’impresa. La vulnerabilità di un’organizzazione oggi, infatti, coincide inevitabilmente con quella del suo fornitore più fragile. In questa prospettiva, la protezione della filiera diventa un fattore di governance che incide direttamente sulla stabilità dei processi aziendali e sulle capacità di garantire continuità anche in scenari di forte pressione normativa e tecnologica.

Il coordinamento tra flussi informativi, infrastrutture esterne e servizi digitali ha ampliato la superficie di attacco e, in questo scenario, la gestione del rischio informatico lungo la catena di approvvigionamento è ormai parte integrante della compliance legale, nonché della governance societaria.

La cultura regolatoria europea ha contribuito in modo decisivo a questa evoluzione: dal GDPR, che quest’anno compie dieci anni, alla direttiva NIS2, al regolamento DORA, al Cyber Resilience Act, al Data Act e fino all’AI Act, il quadro normativo impone un modello di vigilanza attiva, documentata e continuativa e non una mera e formale compilazione di checklist.

Questa evoluzione normativa incide necessariamente anche sulla contrattualistica ICT, che va ripensata da strumento di tutela ex post a strumento di gestione del rischio.

Le clausole generiche di manleva, i rinvii a policy unilaterali o le autocertificazioni non sono più sufficienti a tutelare l’impresa, ma, al contrario, è necessario impostare una governance capace di prevenire, mitigare e gestire i rischi per tutte la durata del rapporto, compresi i casi – purtroppo sempre più numerosi – di incidenti informatici.

Dinanzi a una situazione di criticità, infatti, il risarcimento del danno non può coprire il blocco operativo, le sanzioni, i danni indiretti, gli inadempimenti verso i clienti o l’impatto reputazionale e neppure le coperture assicurative – pur potendo mitigare alcuni aspetti economici dell’incidente, come i costi di ripristino o determinate voci di danno – eliminano il rischio reputazionale, che rimane un elemento strutturale e non trasferibile. La reputazione, infatti, è un asset che nessuna polizza può realmente proteggere e la cui compromissione può generare effetti di lungo periodo sulla fiducia del mercato e dei clienti. È per questo che la contrattualistica deve invece essere strumento preventivo di business continuity, definendo ruoli, responsabilità, tempi, obblighi di notifica, procedure di escalation e criteri di cooperazione tra le parti.

Ogni fase del rapporto assume, così, un valore decisivo, a cominciare dal procurement: la due diligence precontrattuale diventa espressione del dovere di diligenza nella scelta del fornitore e deve includere anche una valutazione approfondita della maturità cyber, delle capacità di incident response e della continuità operativa. Il possesso di certificazioni internazionali, come ISO/IEC 27001 e ISO/IEC 22301, pur non obbligatorio, può sicuramente essere un indicatore di affidabilità.

Svolgere queste attività iniziali in modo incompleto o meramente formale non solo espone l’impresa a responsabilità dirette, ma compromette la capacità di costruire una filiera realmente resiliente, essendo il fornitore parte integrante del perimetro di rischio. In sede negoziale, particolare attenzione deve essere data alla determinazione di SLA specifici, misurabili e sanzionabili, alla definizione di tempi massimi per l’applicazione delle patch critiche, alla previsione di monitoraggio, fino a procedure di gestione coordinata degli incidenti e obblighi di notifica tempestiva. Queste clausole trasformano la sicurezza in un parametro contrattuale oggettivo, verificabile e auditabile, riducendo l’incertezza interpretativa e rafforzando la capacità di risposta.

La complessità delle moderne supply chain richiede anche una disciplina stringente dei diritti di audit: il committente deve poter effettuare verifiche periodiche o straordinarie, anche tramite terze parti indipendenti, sull’infrastruttura del fornitore. È un presidio essenziale per dimostrare la conformità ai requisiti normativi e per individuare tempestivamente eventuali vulnerabilità.

Ultima, ma non per importanza, è la regolazione della subfornitura: gli stessi standard di sicurezza devono essere previsti lungo tutta la catena (back‑to‑back covenants). Senza questa visibilità end‑to‑end, la compliance resta incompleta e si perde il controllo dopo il primo anello della catena.

Come chiave di volta di tutta l’infrastruttura di sicurezza si innestano, dunque, la formazione e la cultura del rischio, come fondamento della capacità di riconoscere, comprendere e gestire i rischi lungo tutta la catena di fornitura. Una cultura del rischio matura consente di individuare vulnerabilità, anticipare criticità e attivare tempestivamente le procedure di risposta.

In questo contesto, l’attività di formazione di ANRA – Associazione Nazionale dei Risk Manager e Responsabili Assicurazioni Aziendali può essere di particolare rilevanza: l’associazione promuove percorsi formativi dedicati al Supply Chain Risk Management, come il programma tematico del 22, 23 e 24 settembre e iniziative certificate come il percorso DRI sulla Cyber Resilience, previsto dal 28 settembre al 1° ottobre. Questi strumenti formativi contribuiscono a costruire competenze diffuse e a rafforzare la capacità delle organizzazioni di governare il rischio lungo tutta la filiera.

In conclusione, la tutela della supply chain si configura come una responsabilità strategica dell’impresa e del suo organo amministrativo, per la tutela della continuità operativa, della reputazione, del brand e, in una parola, del business.

Maria Elena Iafolla
Socia ANRA