NIS2 e fornitori: cosa ti chiederà il cliente, anche se tu non sei soggetto NIS2

La scena si sta ripetendo in molte piccole aziende che lavorano per gruppi più grandi. Arriva un'email dall'ufficio acquisti di un cliente importante, con allegato un questionario di sessanta domande sulla sicurezza informatica. Oppure il rinnovo del contratto contiene clausole nuove: avvisare entro 24 ore di qualsiasi incidente, accettare verifiche, elencare i propri subfornitori. Tu hai quindici dipendenti e non sei soggetto alla NIS2. La risposta breve è che per legge non sei obbligato, ma il tuo cliente sì, e una parte dei suoi obblighi riguarda proprio i fornitori: in pratica diventano condizioni contrattuali, e rispettarle è il prezzo per continuare a lavorare con lui. La buona notizia è che le regole chiedono proporzionalità, e quello che ti verrà chiesto è quasi sempre buona igiene informatica che conviene avere comunque.

Perché le richieste arrivano proprio adesso

La NIS2, recepita in Italia con il D.Lgs. 138/2024, ha dato ai soggetti inclusi nell'elenco dell'Agenzia per la Cybersicurezza Nazionale diciotto mesi di tempo, dalla comunicazione di inserimento, per adottare le misure di sicurezza di base. Le prime comunicazioni sono partite ad aprile 2025, quindi per molte aziende quel termine è caduto a ottobre 2026. Tra le misure ce ne sono diverse dedicate alla catena di fornitura, e una FAQ dell'ACN chiarisce un dettaglio decisivo per te: i contratti già in corso non vanno per forza riscritti, ma i requisiti diventano obbligatori per quelli stipulati, rinnovati o prorogati da quel momento in poi. È per questo che le nuove clausole compaiono al rinnovo.

Si aggiunge una novità del 2026. Con la determinazione del 13 aprile 2026 l'ACN ha chiesto ai soggetti NIS di comunicare ogni anno, tra il 15 aprile e il 31 maggio, i propri fornitori rilevanti: quelli che forniscono servizi digitali o la cui interruzione avrebbe un impatto significativo perché difficili da sostituire. Per ciascuno vengono trasmessi denominazione, codice fiscale, paese della sede e tipo di fornitura. Se lavori per un soggetto NIS, il tuo nome potrebbe già essere in quell'elenco.

Cosa dice davvero la legge, e cosa no

L'articolo 24 del decreto impone ai soggetti NIS di curare la sicurezza della catena di approvvigionamento, compresi i rapporti con i propri diretti fornitori, valutando per ciascuno le vulnerabilità specifiche, la qualità dei prodotti e le pratiche di sicurezza. Le misure di base dell'ACN, oggi definite dalla determinazione del 19 dicembre 2025, traducono questo principio in azioni concrete: il cliente deve tenere un inventario dei fornitori con un referente per ciascuno, stabilire requisiti di sicurezza coerenti con le proprie misure, inserirli nei contratti e verificarne periodicamente il rispetto. Per i soggetti essenziali l'elenco dei temi da coprire è lungo: gestione e segnalazione degli incidenti, accessi e autenticazione, aggiornamenti di sicurezza, continuità operativa, sviluppo sicuro, subappalti, restituzione e cancellazione dei dati a fine contratto, possibilità di verifica.

Quello che la legge non fa è trasformarti in un soggetto NIS. Comparire tra i fornitori rilevanti non ti rende automaticamente obbligato: l'ACN usa quell'elenco per individuare gli elementi davvero sistemici della filiera, e un'eventuale designazione passa da una procedura specifica, non da una comunicazione del tuo cliente. Non esiste nemmeno un obbligo di certificazione ISO 27001, anche se averla aiuta. E le stesse FAQ dell'ACN insistono sulla proporzionalità: i requisiti si applicano solo alle forniture che possono incidere sulla sicurezza, vanno adattati alla natura del servizio e non devono diventare un'imposizione generalizzata di obblighi incoerenti. È un argomento che puoi usare, con garbo, quando una richiesta è palesemente sproporzionata rispetto a quello che fornisci.

Le richieste che arrivano più spesso

Nei questionari e nelle clausole che vediamo tornano sempre gli stessi temi, e quasi tutti discendono direttamente dalle misure di base. Account personali per chiunque acceda ai sistemi, niente utenze condivise, e autenticazione a due fattori sulla posta e sugli accessi da remoto. Registrazione degli accessi remoti e di quelli con privilegi amministrativi. Backup con almeno una copia fuori linea e ripristini provati. Aggiornamenti di sicurezza applicati senza ritardi ingiustificati. Un referente per la sicurezza con un recapito che risponde. L'elenco dei servizi cloud e dei subfornitori che toccano i dati del cliente. E l'impegno a comunicare un incidente entro poche ore.

Quest'ultimo punto ha una spiegazione precisa: il tuo cliente deve inviare all'ACN una prima segnalazione entro 24 ore da quando viene a conoscenza di un incidente significativo e una notifica completa entro 72, e se l'incidente parte da te ha bisogno di saperlo subito. Le sanzioni per chi non rispetta gli obblighi arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali e a 7 milioni o all'1,4% per quelli importanti, con responsabilità diretta degli amministratori: si capisce perché gli uffici acquisti abbiano iniziato a fare sul serio.

Come rispondere a un questionario senza farsi male

La prima regola è la più semplice e la più ignorata: rispondi in modo veritiero. Dichiarare di avere l'autenticazione a due fattori ovunque quando non è così può tornarti indietro come inadempimento contrattuale il giorno in cui succede qualcosa. Quando una misura manca, è molto meglio scriverlo e affiancare un piano con date realistiche per introdurla: per un cliente, un fornitore che sa dove sta e dove sta andando è più rassicurante di uno che risponde sì a tutto.

La seconda è documentare. Le risposte valgono di più se accompagnate da prove semplici: una pagina con le regole di sicurezza interne, il riepilogo delle utenze con il secondo fattore attivo, il resoconto dell'ultimo test di ripristino dei backup, la procedura da seguire in caso di incidente con i nomi e i numeri da chiamare. La terza è leggere le clausole con attenzione prima di firmarle. Un obbligo di notifica entro un'ora è irrealistico per una piccola azienda, uno entro 24 ore dalla scoperta è ragionevole. Le verifiche del cliente vanno bene, con un preavviso e regole chiare su chi ne sostiene il costo. Penali e limiti di responsabilità meritano lo sguardo di un legale.

Il kit minimo da preparare

Se vuoi arrivare pronto al prossimo rinnovo, questo è l'insieme di cose che copre la grande maggioranza delle richieste:

• l'elenco dei sistemi e delle persone che accedono ai dati o ai sistemi del cliente;
• account nominativi e autenticazione a due fattori su posta, accessi remoti e servizi cloud;
• backup con una copia fuori linea o non modificabile, e un ripristino provato di recente;
• aggiornamenti e protezione dei computer gestiti con regolarità, non quando capita;
• una procedura per gli incidenti con un referente, un recapito e i contatti del cliente;
• l'elenco dei tuoi fornitori di servizi cloud e informatici;
• una pagina di regole interne e una formazione di base del personale contro il phishing.

Niente di tutto questo richiede investimenti enormi: per una piccola azienda si tratta soprattutto di configurazione, organizzazione e qualche strumento mirato. Ed è lo stesso elenco che ti chiede una compagnia assicurativa prima di coprirti contro il rischio informatico, come spieghiamo nella guida sulla polizza cyber. Sistemarlo una volta vale per tutti gli interlocutori.

E se un domani toccasse anche a te?

Le soglie dimensionali restano il primo filtro: nei settori indicati dal decreto le piccole imprese, sotto i 50 addetti e i 10 milioni di fatturato o di bilancio, sono di norma escluse, salvo designazioni specifiche. Se la tua azienda cresce, o se fa parte di un gruppo, i conti vanno rifatti considerando anche le società collegate, e la prossima finestra di registrazione sulla piattaforma dell'ACN va dal 1° gennaio al 28 febbraio 2027. Intanto l'Agenzia ha avviato a settembre 2026 la consultazione sulle misure di sicurezza rafforzate che integreranno quelle di base: chi ha già messo in ordine le fondamenta farà meno fatica anche dopo. Il quadro generale per le piccole imprese è nella guida su NIS2 e cybersecurity per le PMI.

Da dove cominciamo noi

Quando un'azienda ci chiama con un questionario NIS2 da compilare, partiamo da una verifica rapida di come stanno davvero le cose: utenze, secondo fattore, backup, aggiornamenti, accessi da remoto. Da lì sistemiamo le lacune più importanti, prepariamo la documentazione e aiutiamo a rispondere con precisione, senza promettere quello che non c'è. È un lavoro che si integra con l'assistenza informatica continuativa, perché il cliente prima o poi chiederà di dimostrare che le misure sono mantenute nel tempo, non solo adottate il giorno del questionario. Tra le prime cose che controlliamo ci sono quasi sempre backup e posta elettronica, i due punti da cui partono più spesso gli incidenti.

Nota: questa guida ha scopo informativo e non sostituisce una consulenza legale. Il perimetro NIS2 e i termini applicabili vanno verificati caso per caso sulla base delle comunicazioni ACN e del contratto con il cliente.