SolarWinds, MOVEit, CrowdStrike: alcuni degli incidenti cyber più rilevanti degli ultimi anni hanno dimostrato quanto la sicurezza di un’organizzazione sia strettamente legata a quella del suo ecosistema di fornitori, partner e tecnologie esterne: molte delle aziende colpite non sono state violate direttamente, ma attraverso soggetti terzi della loro filiera.
Con DORA in vigore da gennaio 2025 e NIS2 operativa da ottobre 2024, gestire il rischio della supply chain digitale non è più solo una scelta strategica: è un obbligo normativo con sanzioni esplicite e responsabilità diretta del management.
Perché è più difficile da strutturare di quanto sembri
-
- L’inventario dei fornitori ICT è spesso incompleto. I fornitori che accedono ai sistemi in modo indiretto, attraverso integrazioni, API, accessi remoti per manutenzione, vengono sistematicamente sottovalutati. Senza un censimento completo, il vendor risk management resta una gestione di ciò che è visibile, non di ciò che è rischioso.
-
- Il questionario annuale non è più sufficiente. Sia NIS2 che DORA richiedono esplicitamente un monitoraggio continuo: aggiornamento della valutazione al variare del contesto, tracciamento degli incidenti noti che coinvolgono i fornitori, verifica periodica delle certificazioni. Un programma VRM basato solo su revisioni annuali espone l’organizzazione a rischi non rilevati tra un ciclo e l’altro.
-
- La gestione manuale di centinaia di fornitori è operativamente insostenibile. Raccogliere, valutare e aggiornare i questionari di due diligence, calcolare il risk score, monitorare le scadenze, produrre report per il board e per le autorità di vigilanza: senza automazione, il programma VRM diventa un esercizio di compliance formale, più che uno strumento reale di gestione del rischio.
Come STEP lo ha risolto in un caso reale
Un’istituzione finanziaria europea con centinaia di fornitori ICT doveva adeguarsi a DORA in tempi stretti. Con CYBER-HUB, STEP ha automatizzato l’intero processo di Third Party Risk Management: onboarding strutturato dei fornitori, questionari calibrati per livello di criticità, calcolo automatico del risk score, monitoraggio continuo e gestione del registro informativo richiesto dalle autorità europee.
Il dry run del 2024 è stato superato con esito positivo. Nel 2025 il programma è stato esteso ad altre entità del gruppo.
Prossimo passo
→ Scopri come CYBER-HUB mappa e monitora il rischio dei tuoi fornitori
Gestione del rischio terze parti in ambienti regolamentati
CYBER-HUB è l’hub di soluzioni per l’Information Security Risk Governance, con un modulo dedicato al Third Party Risk Management progettato per rispondere ai requisiti di DORA, NIS2 e GDPR.
Automatizza le fasi operativamente più costose del programma VRM: l’onboarding strutturato dei fornitori con questionari calibrati per livello di criticità, il calcolo continuo del risk score, il monitoraggio delle certificazioni e la gestione del registro informativo richiesto dalle autorità di vigilanza europee.
Tutto il processo, dall’assessment iniziale agli aggiornamenti periodici, fino alla reportistica per il board, è tracciato in un’unica piattaforma condivisa tra procurement, legal, compliance e IT security.
Per le organizzazioni che devono dimostrare la propria postura di rischio non solo internamente ma anche alle autorità, CYBER-HUB produce la documentazione audit-ready in formato strutturato, eliminando il lavoro manuale di raccolta e composizione dei dati.
