Hai già verificato se la tua azienda è soggetta direttamente alla NIS2 e forse hai concluso che no, non rientri: meno di 50 dipendenti, fatturato sotto i 10 milioni, settore non critico. Caso chiuso.
Non ancora.
Perché c’è una parte della NIS2 che colpisce molte più aziende di quelle che rientrano formalmente nel perimetro, cioè l’obbligo di sicurezza a cascata lungo la supply chain.
NIS2 e supply chain: cosa vuol dire?
La NIS2 non si ferma ai confini delle grandi aziende. Una delle sue disposizioni più significative riguarda proprio la gestione della supply chain: i soggetti essenziali e importanti già soggetti alla normativa sono tenuti a estendere i requisiti di sicurezza ai propri fornitori (D.Lgs. 138/2024).
Tradotto in pratica: se fornisci prodotti, servizi o accesso ai sistemi a un’azienda soggetta NIS2, quell’azienda ha l’obbligo di verificare che anche tu rispetti determinati standard di sicurezza informatica. Non per scelta, ma per legge.
Nel corso del 2024 e del 2025, aziende del settore dell’energia e dei servizi professionali hanno già iniziato ad aggiornare i propri contratti di fornitura inserendo clausole legate alla conformità NIS2. Non è uno scenario futuro: sta succedendo adesso, in diverse filiere.
Il rischio concreto non è solo quello legato ad una multa dell’ACN ma quello di perdere contratti, essere esclusi da gare d’appalto o vedersi chiedere garanzie che non sei in grado di fornire.
Chi sono i fornitori a rischio
Non tutti i fornitori vengono coinvolti allo stesso modo, ci sono alcune categorie per cui il rischio di ricevere richieste dai clienti NIS2 è molto più alto.
- Fornitori IT e managed service provider: se gestisci infrastrutture IT, reti, sistemi o dati di un’azienda NIS2, sei direttamente nella sua catena di approvvigionamento critica. Provider IT, managed service provider, cloud, data center e software critico rientrano tra le organizzazioni della supply chain che vengono chiamati a dimostrare controlli, audit trail e tempi di reazione. Per questo tipo di fornitore, le richieste di conformità arriveranno presto se non sono già arrivate, secondo il Rapporto Clusit 2024.
- Fornitori manifatturieri con accesso ai sistemi del cliente: se produci componenti critici o hai accesso remoto ai sistemi produttivi del tuo cliente, sei considerato parte della sua infrastruttura operativa. La compromissione di un fornitore di questo tipo può bloccare la produzione dell’intera filiera.
- Fornitori di servizi professionali con accesso a dati sensibili: studi legali, commercialisti, consulenti che gestiscono dati riservati di aziende NIS2 sono nella stessa posizione: il loro eventuale breach è un breach del cliente.
Cosa ti possono chiedere concretamente
Le richieste che arrivano dai clienti soggetti NIS2 variano per forma e profondità, ma tendono a concentrarsi su alcune aree specifiche.
- Questionari di sicurezza. Il formato più comune. Ti vengono poste domande sulla tua infrastruttura IT: hai un firewall aggiornato? Usi l’autenticazione a due fattori? Hai procedure di backup testate? Gestisci gli aggiornamenti di sicurezza in modo sistematico? Chi ha accesso ai tuoi sistemi?
- Audit e ispezioni. In alcuni casi, soprattutto per fornitori critici, il cliente può richiedere di verificare direttamente le tue misure di sicurezza attraverso un audit. Non è ancora lo scenario più comune per le PMI, ma diventerà più frequente con il consolidarsi della normativa.
- Clausole contrattuali. Le aziende soggette NIS2 stanno inserendo nei nuovi contratti di fornitura clausole specifiche che richiedono il rispetto di determinati standard di sicurezza, l’obbligo di notifica in caso di incidente, e talvolta il diritto di audit. Firmare questi contratti senza essere in grado di rispettare le clausole espone a rischi legali significativi.
- Certificazioni. In alcuni settori, soprattutto quello IT e delle infrastrutture, iniziano a essere richieste certificazioni specifiche come ISO 27001 come prerequisito per la fornitura.
Il costo di adeguamento per una PMI parte da circa 800 euro per un gap assessment iniziale, fino a 2.000-8.000 euro per un adeguamento completo. Messo a confronto con il rischio di perdere un contratto importante, i numeri parlano da soli.
Le misure minime che ogni fornitore dovrebbe avere
Non devi raggiungere la conformità piena NIS2 per soddisfare le richieste dei tuoi clienti. Ma ci sono alcune misure di base che ogni fornitore che lavora con aziende strutturate dovrebbe già avere attive.
Le misure minime richieste dalla NIS2 comprendono: politiche di sicurezza delle informazioni, gestione degli incidenti, continuità operativa e disaster recovery, sicurezza della supply chain, formazione del personale, uso della crittografia, controllo degli accessi.
Tradotto in azioni concrete per una PMI fornitrice:
- Autenticazione a due fattori su tutti gli accessi remoti e sugli account con accesso ai sistemi del cliente. È la misura con il rapporto costo-beneficio più alto e la più frequentemente richiesta nei questionari di sicurezza.
- Backup regolari e testati. Non basta fare il backup: bisogna verificare periodicamente che il ripristino funzioni. Un backup non testato non è una garanzia.
- Gestione degli aggiornamenti. Patch di sicurezza applicate sistematicamente, non quando capita. I sistemi non aggiornati sono il punto di ingresso più sfruttato negli attacchi alla supply chain.
- Gestione degli aggiornamenti. Patch di sicurezza applicate sistematicamente, non quando capita. I sistemi non aggiornati sono il punto di ingresso più sfruttato negli attacchi alla supply chain.
- Inventario degli accessi. Sapere chi ha accesso a cosa, con quali credenziali e da dove. Credenziali di ex dipendenti ancora attive, account di servizio con privilegi eccessivi: sono rischi reali che emergono sistematicamente nei questionari di sicurezza.
- Procedure di notifica degli incidenti. Sapere cosa fare e chi avvisare (inclusi i clienti) in caso di violazione dei dati o interruzione dei sistemi. Nei nuovi contratti NIS2 questo viene richiesto esplicitamente.
Come capire se sei già nel mirino
Il primo passo è la valutazione di applicabilità: verificare se rientri nel perimetro diretto della NIS2 o se sei coinvolto come fornitore nella supply chain secondo le indicazioni dell’ACN.
Ci sono segnali concreti che indicano che le richieste stanno per arrivare, o sono già arrivate:
- Hai ricevuto questionari di sicurezza da clienti negli ultimi 12 mesi.
- I tuoi contratti di fornitura vengono rinnovati con nuove clausole sulla cybersecurity.
- I tuoi clienti principali operano in settori come energia, manifatturiero critico, trasporti, sanità o servizi IT.
- Hai accesso remoto ai sistemi o ai dati di uno o più clienti.
Se almeno uno di questi punti ti riguarda, il momento di agire è adesso, prima che arrivi la prima richiesta formale. Prepararsi in anticipo significa poter rispondere con fiducia invece di improvvisare sotto pressione.
Il vantaggio di essere pronti prima degli altri
C’è un aspetto che spesso viene trascurato nel dibattito sulla NIS2: per le PMI che si adeguano per prime, la conformità diventa un vantaggio competitivo.
Se un cliente NIS2 deve scegliere tra due fornitori equivalenti e uno dei due può dimostrare di avere misure di sicurezza adeguate, la scelta è semplice. Sempre più spesso la cybersecurity non è solo un requisito da spuntare: è un criterio di selezione.
Le aziende che stanno già rispondendo bene ai questionari di sicurezza, che hanno procedure documentate e misure tecniche verificabili, stanno costruendo un patrimonio di credibilità che vale molto più del costo dell’adeguamento.
Non sai se la tua azienda è coinvolta come fornitore nella supply chain NIS2?
Richiedi una valutazione gratuita: in una call di 30 minuti analizziamo la tua posizione nella filiera e ti diciamo, senza impegno, se e come sei coinvolto dagli obblighi NIS2 dei tuoi clienti.
Approfondisci su questo blog