NIS2 SC10 e SC30: cosa significano queste classificazioni per i fornitori?

SC10, SC20, SC30: un marchio privato, non una classificazione di legge

Cercando "NIS2 SC10" o "NIS2 SC30" si trova un sistema a tre livelli nato nei Paesi Bassi con il nome "NIS2 Supply Chain": SC10 (Basic), SC20 (Substantial) e SC30 (High). Un punto da chiarire subito: non è una classificazione della direttiva NIS2 stessa, né una categoria legale riconosciuta dall'UE o da un'autorità di vigilanza nazionale. È un marchio di qualità privato, offerto da diversi organismi di audit accreditati, sviluppato per dare forma concreta a un obbligo che la direttiva enuncia senza specificarlo ulteriormente.

Questo obbligo di fondo è previsto dall'art. 21(2)(d) di NIS2 (direttiva (UE) 2022/2555): le entità essenziali e importanti devono valutare e garantire contrattualmente la cybersicurezza della propria catena di fornitura. La direttiva non prescrive come farlo — nessun certificato fisso, nessun questionario fisso. È esattamente in questo vuoto che si inserisce il marchio SC10/SC20/SC30: offre al fornitore un livello concreto e verificabile da dimostrare, e all'acquirente un punto di riferimento fisso da richiedere.

Non confondete il marchio con un obbligo di legge. Non siete tenuti a ottenere SC10, SC20 o SC30 per essere conformi a NIS2 — una vostra valutazione di cybersicurezza ben documentata (si veda più avanti) costituisce una prova altrettanto valida per la maggior parte dei rapporti con i fornitori.

I tre livelli in dettaglio

SC10 (Basic) è il livello base, per fornitori più piccoli con un profilo di rischio limitato che riforniscono direttamente un cliente soggetto a NIS2 — ad esempio senza accesso a sistemi critici o dati sensibili. Il pacchetto comprende circa 17 misure concrete suddivise tra organizzazione, persone, sicurezza fisica e tecnologia, in gran parte derivate dall'Annex A della ISO/IEC 27001.

SC20 (Substantial) è il livello intermedio, per fornitori con un profilo di rischio più elevato: maggiore accesso ai sistemi o ai dati del cliente, o impatto maggiore in caso di interruzione. I requisiti vanno oltre SC10, con più enfasi sull'attuazione dimostrabile piuttosto che su semplici politiche scritte.

SC30 (High) è il livello più impegnativo, per gli anelli critici della catena — fornitori la cui interruzione potrebbe causare un impatto significativo presso il cliente. Questo livello si avvicina molto a una certificazione ISO/IEC 27001 completa, con attenzione esplicita a governance, controlli tecnici, monitoraggio e test indipendenti.

Il livello che un cliente si aspetta da voi dipende da tre fattori: il vostro ruolo nella catena (fornitore diretto o subappaltatore di un subappaltatore), il vostro accesso ai sistemi o ai dati del cliente, e il possibile impatto di un'interruzione presso di voi sul servizio del cliente.

Guida pratica: quale livello vi riguarda?

Passo 1 — Chiedetelo al vostro cliente. La via più rapida e affidabile: un cliente soggetto a NIS2 ha di solito già stabilito quale livello si aspetta dai fornitori, spesso indicato nel contratto di fornitura o nelle condizioni di gara.

Passo 2 — Fate una vostra stima se il cliente non specifica un livello. Chiedetevi: avete accesso diretto ai sistemi IT o ai dati sensibili del cliente? Un incidente informatico presso di voi potrebbe interrompere il servizio del cliente? Fornite componenti o servizi critici senza un'alternativa rapida? Più risposte affermative date, più alto è probabilmente il livello atteso (SC20 o SC30).

Passo 3 — Iniziate con un'analisi del divario rispetto ai dieci ambiti CY di una valutazione NIS2 standard (si veda la nostra guida passo dopo passo alla valutazione NIS2 della catena di fornitura): gestione del rischio, gestione degli incidenti, continuità operativa, sicurezza della catena di fornitura, sviluppo sicuro, gestione delle vulnerabilità, igiene informatica, crittografia, gestione degli accessi e certificazioni. È la stessa base su cui si fondano sia SC10/SC20/SC30 sia un questionario del cliente.

Passo 4 — Solo a questo punto decidete se una certificazione SC formale vale la pena. Per un fornitore che serve uno o due clienti soggetti a NIS2, una propria valutazione ben documentata spesso basta. Se rifornite decine di clienti soggetti a NIS2, un unico certificato indipendente vi risparmia di rispondere ripetutamente a questionari sempre diversi.

Come funziona il percorso di certificazione

La certificazione a ogni livello segue uno schema fisso: un'analisi del divario rispetto ai requisiti del livello scelto, la copertura delle lacune (redigere politiche, predisporre controlli tecnici, documentare procedure) e infine un audit indipendente condotto da un organismo accreditato. L'autodichiarazione non è sufficiente per nessuno dei tre livelli — è proprio questo a distinguere il marchio da un questionario compilato autonomamente.

Per SC10 e SC20, alcuni organismi conducono l'audit direttamente; la certificazione SC30 passa in genere attraverso un ente di certificazione esterno e indipendente, simile a un percorso ISO 27001.

Prevedete un percorso strutturato da alcune settimane a qualche mese, a seconda di quante delle misure sottostanti avete già in atto — proprio per questo l'analisi del divario del passo 3 deve essere il punto di partenza, non l'audit stesso.

Come vi aiuta verified.supply

verified.supply non certifica direttamente alcun marchio SC10, SC20 o SC30 — resta compito degli organismi di audit accreditati. Ciò che verified.supply fa: strutturare la vostra valutazione di cybersicurezza NIS2 lungo gli stessi dieci ambiti CY, così da avere la base documentata che sia un questionario del cliente sia un audit SC formale vi richiederanno — una politica di rischio, una procedura per gli incidenti, la gestione degli accessi e il resto, riuniti in un unico posto invece che sparsi tra documenti separati.

Una volta ottenuto un certificato SC10, SC20 o SC30, registratelo come certificato nel vostro profilo verified.supply (sotto Certificati e assicurazioni), con la relativa data di scadenza — visibile ai clienti che lo richiedono, con lo stesso monitoraggio automatico delle scadenze delle vostre altre certificazioni.

Così, con un unico profilo, coprite sia la strada del questionario del cliente sia la preparazione a una certificazione SC indipendente — senza costruire due volte la stessa prova.