Perché ti riguarda anche se non sei soggetto
Tra le misure dell’art. 24 del D.Lgs. 138/2024 c’è la sicurezza della catena di approvvigionamento e dei rapporti con i fornitori. I soggetti NIS2 devono quindi valutare i propri fornitori, porre requisiti e verificarli nel tempo.
Per te, fornitore, significa che le richieste arrivano comunque: non dall’ACN, ma dai clienti. Riguarda software house, provider IT e cloud, manutentori, installatori di impianti, servizi di vigilanza, logistica. Anche piccole imprese.
Le richieste possono arrivare in momenti diversi: al rinnovo del contratto, in una gara, in una qualifica fornitori o dopo un incidente. Spesso arrivano da più clienti insieme, ciascuno con il proprio modulo. Senza un metodo, rispondere diventa un lavoro a tempo pieno.
La NIS2 adotta un approccio multirischio. Per questo le domande vanno oltre i sistemi informativi: un manutentore che accede ai locali tecnici o un’impresa di vigilanza riceveranno domande su accessi fisici, personale e continuità del servizio.
Dal 2026 l’elenco dei fornitori rilevanti
Ogni anno, nella finestra dal 15 aprile al 31 maggio, i soggetti NIS2 aggiornano le proprie informazioni sul portale ACN. Dal 2026 l’aggiornamento comprende anche l’elenco dei fornitori rilevanti.
Se un cliente ti considera fornitore rilevante, la tua relazione con lui diventa visibile all’autorità. Aspettati più attenzione su contratti, verifiche e tempi di risposta. I criteri per stabilire chi è rilevante sono indicati dall’ACN: per i dettagli fai riferimento ai testi su acn.gov.it.
Questo rende la gestione dei fornitori un tema strutturale per i tuoi clienti, non un adempimento occasionale. Le verifiche si ripeteranno ogni anno, in vista di ogni aggiornamento.
Cosa ti chiederanno i clienti
Le richieste hanno di solito tre forme: questionari, clausole contrattuali e richieste di evidenze.
| Forma | Cosa aspettarti |
|---|---|
| Questionari di sicurezza | Domande su governance, analisi dei rischi, accessi, autenticazione a più fattori, backup, vulnerabilità, formazione, sicurezza fisica |
| Clausole contrattuali | Obblighi di notifica degli incidenti al cliente, livelli minimi di sicurezza, diritto di audit, gestione dei subfornitori, cessazione del servizio |
| Evidenze | Politiche approvate, log dei test di ripristino, report di vulnerability assessment, attestati di formazione, eventuali certificazioni |
La clausola che pesa di più è quella sugli incidenti. Il tuo cliente ha 24 ore per la pre-notifica al CSIRT Italia: ti chiederà di avvisarlo prima, e potrebbe chiedertelo in tempi molto stretti.
Leggi bene anche le clausole sull’audit. Un diritto di verifica illimitato, esercitabile da ogni cliente, può diventare un costo rilevante. Meglio proporre modalità chiare: preavviso, frequenza, possibilità di rispondere con documentazione invece che con visite in sede.
Come prepararti
- 01Capisci quali clienti sono soggetti NIS2
Mappa i clienti per settore e dimensione, usando gli allegati del decreto come riferimento.
- 02Prepara un dossier di sicurezza
Un documento unico con le risposte alle domande ricorrenti e le evidenze a supporto. Lo riusi per tutti.
- 03Rivedi i contratti tipo
Proponi tu clausole sostenibili su notifica, audit e subfornitori, prima che te le imponga il cliente.
- 04Organizza la gestione degli incidenti
Definisci chi avvisa i clienti, entro quanto e con quali informazioni.
- 05Gestisci i tuoi fornitori
I clienti chiederanno anche dei tuoi subfornitori. Applica a loro gli stessi criteri.
Non serve partire da un progetto enorme. Un dossier ben fatto, con le misure che hai già e un piano per quelle che mancano, è più credibile di risposte affermative a tutte le domande senza prove a supporto.
Da obbligo a vantaggio commerciale
Un cliente NIS2 che deve scegliere tra due fornitori preferirà quello che risponde al questionario in due giorni, con evidenze ordinate, rispetto a quello che chiede tre settimane. Ridurre il suo lavoro di verifica è un argomento di vendita.
- rispondi più in fretta alle gare e alle qualifiche fornitori;
- riduci le negoziazioni sulle clausole proponendo condizioni già pronte;
- ti presenti come partner che aiuta il cliente a restare conforme;
- migliori davvero la tua sicurezza, con meno rischio di incidenti costosi.
Il lavoro fatto per i clienti NIS2 ti serve anche altrove: con chi applica il GDPR, con le assicurazioni cyber, nelle gare pubbliche. Un unico sistema di gestione, mantenuto nel tempo, risponde a tutte queste richieste con le stesse evidenze.
Come possiamo aiutarti
Con il servizio supply chain aiutiamo i fornitori a preparare dossier, risposte ai questionari e clausole, e aiutiamo i soggetti NIS2 a qualificare i propri fornitori. Se non sai ancora se sei tu stesso soggetto, parti dalla verifica del perimetro.
Domande frequenti
Se non sono soggetto NIS2, l’ACN può sanzionarmi?
Gli obblighi del decreto ricadono sui soggetti NIS2. Per un fornitore non soggetto il rischio è contrattuale e commerciale: clausole violate, perdita di clienti, esclusione dalle qualifiche.
Devo per forza certificarmi ISO 27001?
Non sempre. Molti clienti accettano evidenze puntuali e un questionario ben documentato. Una certificazione semplifica le risposte, ma valuta costi e benefici sul tuo portafoglio clienti.
Come so se un cliente mi considera fornitore rilevante?
Chiediglielo. Dal 2026 i soggetti NIS2 elencano i fornitori rilevanti nell’aggiornamento annuale sul portale ACN: è un’informazione utile per capire quali richieste aspettarti.
Contenuti informativi aggiornati a ottobre 2026: non sostituiscono la lettura dei testi ufficiali né un parere professionale sul caso specifico.