Perché i fornitori contano
Tra le misure di gestione del rischio dell’art. 24 c’è la sicurezza della catena di approvvigionamento e dei rapporti con i fornitori. Dal 2026, nella finestra di aggiornamento tra il 15 aprile e il 31 maggio, i soggetti comunicano all’ACN anche l’elenco dei fornitori rilevanti.
Un software gestionale, un provider cloud, il manutentore che accede da remoto, il servizio di vigilanza: ognuno può essere la via d’ingresso di un incidente. Approfondisci in NIS2 e fornitori.
La valutazione dei fornitori serve a più normative. Lo stesso processo raccoglie le informazioni per la NIS2, le garanzie richieste dal GDPR a chi tratta dati per tuo conto e i controlli sui fornitori di soluzioni AI: un solo registro, un questionario modulare, un solo riesame.
Se sei fornitore di un’azienda NIS2
Anche se la tua azienda è fuori perimetro, i clienti NIS2 ti chiederanno garanzie: questionari di sicurezza, clausole contrattuali, evidenze su backup, accessi, gestione delle vulnerabilità e notifica degli incidenti. Non diventi per questo un soggetto NIS2, ma chi non riesce a dimostrare un livello adeguato rischia di uscire dall’elenco dei fornitori.
Spesso il questionario arriva con una scadenza stretta e la tentazione è rispondere “sì” a tutto. Ma ogni risposta diventa un impegno contrattuale: se dichiari una misura che non hai, o che non sai gestire, il rischio passa a te. Meglio dichiarare il vero e avere un piano per colmare le lacune.
Ti aiutiamo a rispondere in modo coerente a tutti i clienti, a mettere in ordine le misure che mancano e a preparare un fascicolo di evidenze riutilizzabile. Arrivare preparati alla richiesta di un cliente è un vantaggio commerciale.
Il primo passo è capire cosa ti chiedono davvero i clienti e cosa hai già. Spesso molte misure ci sono, ma mancano documenti e prove. Partiamo da lì, poi colmiamo le lacune con lo stesso metodo che usiamo per i soggetti NIS2: priorità, responsabili, evidenze.
Se tra i tuoi clienti ci sono soggetti di settori diversi, le richieste cambiano nella forma ma si somigliano nella sostanza. Prepariamo risposte modulari che si adattano a ciascun questionario senza contraddirsi.
Come lavoriamo, se sei un soggetto NIS2
Non tutti i fornitori meritano lo stesso impegno. Concentriamo questionari e verifiche su chi ha accessi ai sistemi, tratta dati o eroga servizi senza i quali l’attività si ferma. Per gli altri basta una verifica più leggera.
- 01Censimento
Raccogliamo l’elenco dei fornitori da acquisti, IT e amministrazione, con servizi resi, accessi e dati trattati.
- 02Classificazione
Individuiamo i fornitori rilevanti secondo criteri chiari e documentati, utili anche per l’aggiornamento sul portale ACN.
- 03Valutazione
Prepariamo questionari proporzionati al rischio e analizziamo le risposte e le evidenze ricevute.
- 04Contratti
Proponiamo clausole su sicurezza, notifica degli incidenti, accessi, subfornitori, localizzazione dei dati, audit e uscita dal contratto.
- 05Monitoraggio
Definiamo come e quando rivalutare i fornitori, soprattutto quando cambia il servizio o si verifica un incidente.
I questionari coprono gli aspetti che interessano davvero: gestione degli accessi e autenticazione a più fattori, backup e ripristino, gestione delle vulnerabilità, notifica degli incidenti, subfornitori, localizzazione dei dati, formazione del personale. Dove possibile chiediamo evidenze, oltre alle dichiarazioni: un report di backup, una configurazione, un estratto di procedura.
Cosa ricevi
- Il registro dei fornitori con classificazione e criteri di rilevanza.
- Questionari di valutazione differenziati per livello di rischio.
- Clausole contrattuali e un modello di allegato sulla sicurezza.
- La procedura di gestione dei fornitori, dall’ingresso alla cessazione.
- Per i fornitori: risposte standard ai questionari e fascicolo delle evidenze.
Gli strumenti di intelligenza artificiale portano rischi specifici: dati inviati a servizi esterni, dipendenza da fornitori extra-UE. Li valutiamo con gli stessi criteri, vedi Compliance AI.
Il registro dei fornitori è costruito per essere aggiornato da acquisti e IT nel lavoro di tutti i giorni, invece che una volta l’anno. Ogni nuovo contratto passa da una breve scheda che stabilisce subito se il fornitore è rilevante. Quando arriva la finestra di aggiornamento sul portale ACN, i dati sono già pronti.
Cosa ti serve per partire
- L’elenco dei fornitori dall’amministrazione o dal gestionale, con oggetto e importi.
- I contratti dei fornitori informatici, cloud e di manutenzione.
- L’elenco delle utenze esterne e degli accessi remoti attivi.
- Eventuali questionari già inviati o ricevuti.
- Se sei fornitore di soggetti NIS2: le richieste dei clienti, i loro questionari e le clausole già firmate.
Gli errori più comuni
- Mandare lo stesso questionario lungo a tutti i fornitori e ricevere risposte poco utili.
- Considerare solo i fornitori informatici e dimenticare manutentori, vigilanza, logistica.
- Accettare le risposte senza chiedere evidenze.
- Lasciare attivi gli accessi remoti di fornitori che non lavorano più con te.
- Non sapere quali subfornitori usa il tuo fornitore.
- Per chi è fornitore: rispondere a ogni cliente in modo diverso, con informazioni che non tornano tra loro.
Un registro ordinato e un processo semplice, seguito con costanza, valgono più di una valutazione approfondita fatta una volta e poi dimenticata in un archivio.
Per chi è
Il lavoro coinvolge soprattutto l’ufficio acquisti e chi firma i contratti, oltre all’IT. Per questo prepariamo strumenti che possano usare in autonomia anche dopo la fine del progetto.
Per i soggetti essenziali e importanti con molti fornitori o servizi esternalizzati, e per le aziende, anche piccole, che lavorano per clienti nei settori NIS2.
Se sei un fornitore, il lavoro ti serve anche in fase commerciale: un fascicolo di sicurezza pronto, coerente e aggiornato accorcia i tempi delle qualifiche e mostra ai clienti che hai già fatto la tua parte.
Domande frequenti
Siamo una piccola impresa fuori perimetro: perché dovremmo occuparcene?
Perché i tuoi clienti NIS2 devono gestire il rischio della propria catena di fornitura e lo chiederanno a te, con questionari e clausole. Rispondere bene può decidere il rinnovo di un contratto.
Chi sono i fornitori rilevanti?
In generale sono quelli il cui servizio, accesso o trattamento di dati incide sulla sicurezza dei tuoi sistemi. Definiamo i criteri insieme e li documentiamo, così la scelta è spiegabile.
Possiamo cambiare i contratti già in essere?
Di solito si interviene al rinnovo o con un allegato concordato. Per i fornitori più critici conviene anticipare, partendo da notifica degli incidenti e gestione degli accessi.
Dobbiamo comunicare all’ACN tutti i fornitori?
No. Dal 2026 l’aggiornamento annuale tra il 15 aprile e il 31 maggio comprende l’elenco dei fornitori rilevanti, non di tutti i fornitori. Per questo servono criteri chiari per individuarli.
Un fornitore non risponde al questionario: cosa facciamo?
Si valuta il rischio con le informazioni disponibili, si documenta il rifiuto e si decide se accettarlo, chiedere garanzie contrattuali o cercare alternative. L’importante è che la decisione sia presa e tracciata.