Portale produttori e NIS2: come governare accessi e tracciabilità dei produttori terzi

La NIS2 non si ferma ai sistemi interni: estende la gestione del rischio di cybersicurezza alla catena di approvvigionamento. In Italia il D.Lgs. 138/2024 impone ai soggetti essenziali e importanti di gestire anche i rischi derivanti da fornitori e terze parti, compresi quelli che accedono ai loro sistemi. Il portale con cui si gestiscono i rapporti con i produttori terzi è uno dei punti in cui questo rischio diventa concreto: è una porta da cui utenti esterni accedono a dati, programmi e documenti.

Un chiarimento utile: la NIS2 non rende automaticamente soggetto alla direttiva ogni produttore terzo o ogni portale. Gli obblighi restano in capo al soggetto essenziale o importante, che deve però governare il rischio informatico lungo la propria catena di approvvigionamento, inclusi gli accessi di terze parti ai propri sistemi.

Il termine per rendere operative e documentate le misure di sicurezza di base definite dall'ACN non è una data unica per tutti: decorre da diciotto mesi dalla comunicazione individuale di inserimento nell'elenco NIS. Per la prima platea di soggetti, inseriti nel 2025, la scadenza cade in molti casi nell'autunno 2026; per i soggetti inseriti successivamente il termine slitta. Da quel momento assume particolare importanza la capacità di dimostrare l'adozione delle misure con procedure, controlli ed evidenze, nell'ambito dei poteri di vigilanza dell'ACN.

Cosa chiede la NIS2 a chi gestisce i rapporti con i produttori terzi

Tra le misure di sicurezza di base previste dalla Determinazione ACN n. 379907/2025 (applicabile dal 15 gennaio 2026), alcune hanno impatti diretti sulla progettazione e sulla gestione di un portale ad accesso esterno. La Determinazione non menziona espressamente i portali produttori, ma questi principi vi si applicano:

• Controllo degli accessi e gestione delle identità lungo tutto il ciclo di vita dell'utente.
• Autenticazione forte, con particolare attenzione agli accessi privilegiati, amministrativi e da remoto, secondo le misure applicabili.
• Protezione dei dati con misure crittografiche adeguate, in transito e a riposo, in funzione della classificazione delle informazioni e dei rischi.
• Tracciabilità delle operazioni e capacità di rilevare e notificare un incidente.
• Gestione della sicurezza della catena di approvvigionamento: valutazione dei rischi dei fornitori e definizione di adeguati requisiti di sicurezza nei rapporti contrattuali con fornitori e terze parti che accedono ai sistemi (art. 24 D.Lgs. 138/2024).

Il punto critico: gli accessi degli utenti esterni

Molti portali per i produttori nascono come applicazioni con un sistema di accesso proprio, separato da quello aziendale. Il rischio si concentra lì: utenti esterni che vedono più dati del necessario, accessi che restano attivi dopo la fine del rapporto, operazioni senza uno storico ricostruibile.

Per questo, in un portale produttori, due principi contano più degli altri: dare a ciascun utente il minimo accesso necessario in base al suo ruolo, e tenere traccia delle operazioni rilevanti.

Portale produttori e NIS2: la checklist in 7 punti

È una prima autovalutazione, non uno strumento di certificazione. Un solo "no" è un segnale da approfondire: va verificata l'applicabilità del requisito e valutato se servano misure correttive.

1. Accesso per ruolo e per perimetro: ogni utente accede solo ai dati e alle funzionalità autorizzati, in base al proprio ruolo.
2. Autenticazione forte sugli accessi, con attenzione a quelli privilegiati, amministrativi e da remoto.
3. Onboarding e offboarding tracciati: ogni utente esterno è censito e disattivabile in modo controllato.
4. Tracciabilità delle operazioni rilevanti: accessi, modifiche ad anagrafiche e programmi, operazioni amministrative, variazioni dei permessi ed esportazioni, con storico ricostruibile.
5. Protezione crittografica dei dati in transito e a riposo, in funzione dei rischi.
6. Integrazioni governate: le API espongono i dati con autenticazione e regole uniformi.
7. Requisiti di sicurezza contrattualizzati con fornitori ICT e terze parti che accedono al portale.

Come THOR governa accessi e dati dei produttori

THOR, il portale produttori di MAS, nasce per standardizzare la relazione tra chi ritira l'energia e i produttori terzi. La sua architettura prevede funzionalità che contribuiscono al governo degli accessi, alla segregazione delle informazioni e alla tracciabilità delle operazioni:

• Accessi per ruolo e per perimetro: i profili sono costruiti funzionalità per funzionalità; ogni utente accede ai produttori e agli impianti di propria competenza.
• Storico delle operazioni: anagrafiche, programmi, fuori servizio e inviti a fatturare conservano autore, momento ed evoluzione degli stati.
• Gestione uniforme dei dati: misure, programmi, import da Excel, API REST con autenticazione OAuth 2.0 e sincronizzazione con i sistemi sorgente passano dagli stessi controlli di scrittura.

I dati raccolti alimentano poi il forecast di SOLIS UPNR e il bidding in ERGO Suite, senza passaggi manuali fuori dal portale.

Queste caratteristiche sono elementi utili per progettare un sistema coerente con i principi di controllo degli accessi, tracciabilità e governance dei dati richiamati dalla NIS2. La conformità complessiva dipende comunque dalle configurazioni, dalle misure effettivamente implementate e dai processi organizzativi del soggetto che utilizza la piattaforma.

Da dove partire

La conformità alla NIS2 non si improvvisa a ridosso di una verifica, e nessun singolo software la garantisce da solo. Ma gli accessi e la tracciabilità di un portale produttori sono tra gli ambiti più concreti su cui intervenire. Il primo passo è una fotografia onesta dello stato attuale: chi accede, a quali dati, con quali tracce.

Vuoi una valutazione dei controlli del tuo portale produttori rispetto ai principi della NIS2? Scrivici.

Fonti: D.Lgs. 138/2024 di recepimento della direttiva NIS2, in particolare l'articolo 24 sugli obblighi di gestione del rischio per la sicurezza informatica e sulla sicurezza della catena di approvvigionamento; Determinazione ACN n. 379907/2025 sulle misure di sicurezza di base (Allegato 1 per i soggetti importanti, Allegato 2 per i soggetti essenziali); NIS2 e sicurezza della supply chain. Articolo a scopo informativo, non costituisce consulenza legale.