Arriva un’email dall’ufficio acquisti di un cliente importante, magari un’azienda alimentare, un trasportatore o una multiutility. In allegato c’è un questionario: quali misure di sicurezza avete, chi accede ai nostri dati, in quanto tempo ci avvisate se subite un attacco, avete un piano di ripristino. In fondo, una richiesta di aggiornare il contratto con nuove clausole.
Il questionario nasce dalla NIS2. Il cliente rientra nella direttiva ed entro il 31 ottobre 2026 deve avere operative e documentate le misure di sicurezza di base previste dall’Agenzia per la Cybersicurezza Nazionale, compreso il controllo dei propri fornitori. Molte PMI fornitrici scoprono così di essere coinvolte, anche senza essere soggette alla norma.
Cosa scade il 31 ottobre 2026
La NIS2 è in vigore in Italia dal 2024 con il D.Lgs. 138/2024 (ne abbiamo parlato in NIS2 in vigore: obblighi concreti per le aziende italiane). Le regole operative le fissa l’ACN con delle determinazioni. Quella sulle misure di sicurezza di base è la n. 379907/2025, applicabile dal 15 gennaio 2026: prevede 37 misure per i soggetti importanti e 43 per i soggetti essenziali.
Chi è stato iscritto nel registro NIS ad aprile 2025 ha 18 mesi per metterle in pratica, e il termine cade proprio a fine ottobre 2026. Per chi è stato iscritto nel 2026 la scadenza è il 31 luglio 2027. Da novembre l’ACN può avviare verifiche e ispezioni, con sanzioni fino al 2% del fatturato mondiale per i soggetti essenziali e fino all’1,4% per quelli importanti.
Perché la NIS2 riguarda anche i fornitori
La direttiva parte da un’osservazione semplice: molti attacchi gravi entrano dalla porta di un fornitore, che ha accesso ai sistemi del cliente o ne gestisce un pezzo importante. Lo abbiamo visto con il caso raccontato in sicurezza dei fornitori IT. Per questo i soggetti NIS2 devono mappare i fornitori, inserire nei contratti clausole su gestione degli incidenti, obblighi di notifica, diritto di verifica e strategia di uscita, e controllarli nel tempo.
C’è poi un passaggio più formale. Con la determinazione ACN n. 127437/2026, ogni anno, tra il 15 aprile e il 31 maggio, i soggetti NIS2 devono comunicare all’Agenzia l’elenco dei propri fornitori rilevanti, con ragione sociale, codice fiscale e motivo della rilevanza. Un fornitore è rilevante quando fornisce servizi ICT come cloud, data center o sicurezza gestita, oppure quando la sua fornitura è difficile da sostituire e la sua interruzione fermerebbe il cliente. Tra gli esempi che fa l’ACN ci sono la connettività dati e voce non ridondata e la fornitura di energia elettrica.
In pratica: se la vostra azienda gestisce sistemi, dati, reti o servizi critici per un cliente soggetto alla NIS2, è probabile che finiate in quell’elenco, e che il cliente vi chieda di dimostrare un livello di sicurezza coerente con il suo.
Cosa vi chiederanno, in concreto
Le richieste cambiano da cliente a cliente, ma i temi ricorrono quasi sempre:
- Accessi: chi della vostra azienda accede ai sistemi o ai dati del cliente, con quali credenziali, e se è attiva l’autenticazione a più fattori
- Incidenti: in quanto tempo li avvisate se subite un attacco. Il cliente a sua volta deve dare un preavviso al CSIRT entro 24 ore e una notifica entro 72, quindi gli servono tempi certi anche da voi
- Backup e ripristino: dove sono le copie, se sono separate dai sistemi principali, quando avete provato l’ultima volta a ripristinarle
- Aggiornamenti: come gestite patch e vulnerabilità su server, PC e dispositivi
- Continuità: cosa succede al servizio che fornite se si ferma una linea, un server o una persona chiave
- Evidenze: documenti che dimostrino tutto questo. Una risposta a voce non basta più, perché il cliente deve poter mostrare le stesse evidenze all’ACN in caso di verifica
Come prepararsi in un mese
Per rispondere bene basta mettere in ordine quello che già si fa e metterlo per iscritto. Sei passi, in ordine di priorità:
1. Chiedere al cliente cosa si aspetta
Prima di riempire un questionario conviene sapere se il cliente vi considera un fornitore rilevante e quali misure gli interessano davvero. Spesso la risposta restringe molto il campo.
2. Fare l’inventario di quello che tocca il cliente
Quali sistemi, account, connessioni remote e dati del cliente passano dalla vostra azienda. È la base per rispondere a tutte le altre domande.
3. Attivare l’autenticazione a più fattori ovunque
Posta, accessi remoti, gestionali in cloud, pannelli di amministrazione. È la misura che costa meno e che i clienti controllano per prima.
4. Verificare backup e ripristino
Almeno una copia separata dalla rete aziendale e una prova di ripristino documentata. Qui trovate le domande da farsi su backup e disaster recovery.
5. Scrivere una procedura per gli incidenti
Una pagina basta: chi se ne accorge, chi decide, chi avvisa il cliente e in quanto tempo, con i contatti aggiornati. Senza questo documento è difficile promettere tempi credibili.
6. Togliere i punti singoli di guasto
Una sola linea internet, un solo server senza replica, una sola persona che conosce le password. Per un cliente NIS2 sono rischi sulla sua catena di fornitura, e per voi sono rischi di fermo.
Checklist per i fornitori di clienti NIS2
- Sapere se il cliente vi considera fornitore rilevante
- Elenco di sistemi, account e dati del cliente gestiti da voi
- Autenticazione a più fattori su tutti gli accessi
- Backup separato e prova di ripristino documentata
- Procedura incidenti con tempi di avviso al cliente
- Connettività e sistemi critici ridondati
- Documenti pronti da mostrare a chi li chiede
Il 31 ottobre è una scadenza dei vostri clienti, ma le loro domande arriveranno a voi nelle settimane successive. Chi si presenta con le risposte già pronte passa da fornitore da verificare a fornitore su cui contare.
Il team di BitAgorà fa con voi una verifica rapida dei sei punti che i clienti soggetti alla NIS2 controllano per primi, prima che arrivi il questionario. Contattaci per fissarla.