Per gli operatori delle infrastrutture critiche, la scelta dei fornitori tecnologici sta trasformandosi da una questione di capacità e prezzo in una decisione strategica in ambito di rischio. Le piattaforme IT, le soluzioni di cybersecurity, il software gestionale, le apparecchiature di rete e le infrastrutture industriali (OT) sono ormai spesso integrati in sistemi complessi di difficile sostituzione.
Come la scelta del fornitore diventa una questione strategica di lungo termine
Le moderne infrastrutture digitali non sono solo tecnologicamente integrate nei processi produttivi, ma anche finanziariamente onerose da mantenere o trasferire. Un cambio di fornitore richiede spesso investimenti per la migrazione, riconfigurazione, retraining e, più frequentemente, interruzioni operative. Questo rende cruciale per i CISO e i responsabili compliance valutare non solo il valore attuale del partner tecnologico, ma l'attendibilità nel lungo termine.
La frammentazione normativa europea crea ulteriori incertezze
Il quadro normativo dell’Unione Europea rimane frammentato. Sebbene la Commissione abbia lanciato iniziative di policy, valutazioni di rischio e raccomandazioni per affrontare il problema dei fornitori high-risk, in particolare nel settore delle telecomunicazioni, l’attuazione a livello nazionale ha mostrato divergenze. Alcuni Paesi hanno adottato misure restrittive specifiche mentre altri hanno mantenuto un controllo più flessibile.
Per le aziende che operano su più mercati europei, questa differenziazione normativa presenta vere e proprie sfide. Un fornitore che è autorizzato in uno Stato membro può essere messo sotto osservazione o vietato in un altro, costringendo le organizzazioni ad adottare strategie di conformità complesse e costose.
Il caso Elisa Eesti e il ruolo crescente della sicurezza nazionale
Un esempio concreto riguarda la Corte di Giustizia Europea e il caso dell’Estonia, in cui le autorità estoni hanno tentato di imporre ad Elisa Eesti la rimozione di apparecchiature Huawei per motivi di sicurezza nazionale. L'avvocato generale Tamara Ćapeta ha chiarito che simili misure nazionali non violerebbero necessariamente il diritto comunitario, purché rispettino le garanzie procedurali.
Questo caso illustra quanto le decisioni normative sulle infrastrutture critiche possano dipendere da fattori di sicurezza, spesso valutati contestualmente e con tempistiche imprevedibili. Per le organizzazioni, la decisione tecnologica odierna potrebbe generare oneri futuri significativi.
I costi della dipendenza tecnologica
La lezione da trarre da casi simili è chiara: se l’affidabilità di un fornitore diventa messa in discussione in futuro, l’organizzazione potrebbe dover affrontare:
- sostituzioni forzate di componenti tecnologici
- costi elevati per la migrazione e la formazione
- interruzioni di servizio e rischi operativi
- contenziosi contrattuali a seguito di clausole di non utilizzo forzoso
- impatto sulla reputazione del partner
Gli sviluppi normativi europei: Cybersecurity Act e Industrial Accelerator Act
La Commissione europea sta avanzando proposte legislative con un’impronta sempre più diretta. La revisione proposta del Cybersecurity Act (CSA2) mira a introdurre strumenti centrali per la gestione del rischio da fornitori esteri. In particolare, prevede che la Commissione riesa a designare fornitori ad alto rischio e applicare limitazioni, specialmente dove le infrastrutture tecnologiche sono critiche.
I nuovi rischi della supply chain e delle catene ICT
I recenti sviluppi in materia di attacchi cyber hanno chiarito quanto le vulnerabilità nei fornitori di terze parti mettano a rischio l’intera catena di fornitura. CSA2 mira a ridurre tali rischi fornendo un framework legale europeo per limitare l’uso di fornitori che non rispettino gli standard cybersecurity stabiliti a livello UE.
Dal nazionale all’europarlamentare: l’importanza del contesto giuridico
La frammentazione tra normative a livello nazionale sta dando origine a una crescente esigenza di armonizzazione. Gli sviluppi del CSA2 e dell’Industrial Accelerator Act segnalano chiaramente che, in futuro, le restrizioni sui fornitori potrebbero applicarsi a livello UE, rendendo i fornitori ad alto rischio commercialmente non sostenibili per larghi comparti del mercato.
Educare la governance aziendale alla fiducia nei fornitori
I processi di approvvigionamento tecnologico devono andare oltre i criteri tradizionali. Oltre a valutare prestazioni, costi e capacità, le organizzazioni devono considerare:
- la governance dell'azienda fornitore
- la resilienza della sua supply chain
- la trasparenza operativa
- l’esposizione normativa in diversi mercati
- la solidità finanziaria a lungo termine
- l’approccio al design sicuro (secure-by-design)
- la capacità di affrontare cambiamenti geopolitici
La sfida: anticipare i rischi di un contesto in evoluzione
I CISO e i responsabili compliance non devono limitarsi a considerare che un fornitore non europeo sia “a rischio”. Devono piuttosto costruire una valutazione equilibrata che prenda in considerazione gli scenari futuri. Per le aziende che gestiscono infrastrutture critiche, il piano di approvvigionamento non può ignorare la possibilità che il quadro normativo cambi drasticamente in pochi mesi.
La gestione della fiducia non è mai solo una funzione logistica. Oggi, nell’ambito delle infrastrutture critiche, essa è un componente essenziale della strategia. La continuità operativa non può basarsi su componenti tecnologici la cui affidabilità non sia provata nel lungo termine.
Prospettive future
Le aziende che vorranno beneficiare degli investimenti futuri nell'industria 4.0, nelle energie rinnovabili o nei nuovi progetti infrastrutturali europei dovranno dimostrare di aver scelto fornitori in grado di sostenere il livello di sicurezza richiesto.
La fiducia nel fornitore non è un criterio secondario. In uno scenario in cui cybersecurity, sicurezza nazionale e regolamentazione si sovrappongono, essa è un criterio essenziale per l’operatività e la stabilità delle infrastrutture europee.