La Direttiva NIS2 ridefinisce il ruolo dei cloud provider nella sicurezza della supply chain, introducendo nuovi obblighi di compliance, responsabilità condivise e investimenti in Cyber Security. In questo approfondimento, Aldo Guzzo, Responsabile Compliance di Seeweb, analizza le implicazioni della normativa e il valore strategico dei fornitori cloud per la resilienza e la sicurezza delle organizzazioni.
Seeweb è Supporter Sponsor del Club Nazionale Cyberprotection e sarà presente come Platinum Sponsor alla Conferenza Nazionale GDPR Day 2026, in programma il 29 ottobre a Bologna, per contribuire al confronto sui temi della Cyber Security, della Data Protection e della conformità normativa.
Shared responsibility tra soggetti NIS e cloud provider
I cloud service provider costituiscono le infrastrutture su cui si basano la maggior parte dei workload critici dei clienti: le capacità dei data center e cloud computing di garantire disponibilità, integrità e riservatezza dei dati sono un pilastro fondamentale della sicurezza e continuità operativa di un’intera catena di fornitura.
Con la NIS2 stiamo assistendo alla ridefinizione dell’ecosistema e della architettura contrattuale tra le parti ampliando la sicurezza da opzione tecnologica a obbligo giuridico: le conformità coinvolgono non solo i soggetti NIS ma anche i loro partner cloud; si introduce, infatti, l’obbligo di valutazione del rischio dei fornitori estendendo la responsabilità della mitigazione anche ai provider in un modello di shared responsibility che delimita chiaramente i ruoli, lasciando comunque l’accountability in capo al management del cliente.
Elementi imprescindibili degli accordi
La revisione sistemica della supply chain si stabilisce tra il cliente soggetto NIS e il cloud provider attraverso specifici accordi che prevedono almeno:
- obblighi di sicurezza – le misure NIS diventano requisiti obbligatori non solo per i soggetti NIS ma anche per i loro partner cloud;
- audit – diritto per i soggetti NIS di eseguire audit dei fornitori;
- incidenti – obbligo dei fornitori di notifiche ai soggetti NIS con rigide tempistiche e reportistiche.
Il provider come soggetto NIS
Le aziende di infrastrutture digitali e cloud computing sono a loro volta soggetti NIS generando un circolo virtuoso che favorisce e semplifica la compliance dei clienti: il provider già garantisce che le misure di sicurezza sono implementate e documentate, il diritto di audit è disciplinato e riconosciuto, la gestione e le notifiche degli incidenti sono integrate nelle procedure operative; fermo restando la necessità di stipulare gli accordi NIS2 tra i clienti soggetti e partner.
Gli investimenti in cybersecurity
L’adeguamento alle prescrizioni NIS2, e alle imminenti misure rafforzate, richiede ulteriori investimenti per i cloud provider in aggiunta a quelli già in essere per la Data Protection Policy, gli standard ISO/IEC 27001, 22301, 20000-1, le qualifiche per la PA. I budget devono essere allocati sugli ambiti definiti dal Framework Nazionale per la Cybersecurity e la Data Protection su cui si basa l’impianto delle misure di ACN:
- gestione del rischio
- ruoli e responsabilità
- affidabilità delle risorse umane
- conformità e audit
- rischi della catena di approvvigionamento
- gestione degli asset
- gestione delle vulnerabilità
- continuità operativa, ripristino in caso di disastro e gestione delle crisi
- autenticazioni, identità, accessi
- sicurezza fisica
- formazione del personale
- sicurezza dei dati
- sviluppo, configurazione, manutenzione e dismissione
- protezione delle reti e comunicazioni
- monitoraggio degli eventi di sicurezza
- risposta agli incidenti e ripristino.
Per sostenere la cybersecurity compliance i service provider stanno indirizzando gran parte di questi investimenti in pratiche e strumenti quali:
- security orchestration automation and response, security information and event management, threat intelligence, container security, AI anomaly detection;
oltre ai già diffusi ma sempre in miglioramento:
- cloud security posture management, vulnerability assessment, patch management, intrusion detection and prevention, network traffic analysis, data loss prevention, disaster recovery.
Il trasferimento di tali costi sui clienti e sulle economie è in generale dimostrato dall’incremento degli investimenti in cybersecurity in settori industriali differenti e lontani rispetto al settore delle infrastrutture digitali preposto alla salvaguardia informatica.
Ruolo strategico dei cloud provider
ACN ha elevato di fatto i cloud provider da mere piattaforme ad attori della sicurezza nazionale, in concomitanza con il loro peso crescente ed esclusivo sulla containerizzazione e abilitazione computazionale della AI con ricadute dirette su data protection e AI Act.
Questo cambio di forze dei cloud nell’ecosistema cyber induce le aziende a rivalutare i propri rapporti con i provider come strategici, in quanto estensione delle proprie difese informatiche e custodi delle inferenze AI e dei loro risultati.
La governance che si sta diffusamente affermando è l’adozione della data protection congiunta alla security compliance con il riconoscimento del cyberspazio come asset di resilienza, durabilità, reputazione delle organizzazioni, plauso che oltretutto sta rianimando il dibattito per molto disatteso su cosa sia l’effettiva sovranità digitale.
A cura di Aldo Guzzo, Responsabile Compliance di Seeweb
