Se gestisci siti, server o software per aziende di una certa dimensione, è probabile che negli ultimi mesi ti sia arrivata una mail strana. Un questionario di sicurezza, una richiesta di clausole contrattuali nuove, magari un allegato con settanta domande sulla tua infrastruttura.
Non è burocrazia inventata. È la NIS2 che scende lungo la filiera, e da qui a fine ottobre la cosa si intensifica. Ma prima di firmare qualcosa o di comprare un pacchetto di consulenza, c'è un punto che devi avere chiarissimo.
Piccola premessa: non sono un avvocato e questo non è un parere legale. È quello che ho capito stando dall'altra parte del questionario, come fornitore che quelle richieste le riceve.
L'obbligo non è tuo. È del tuo cliente
Questa è la cosa più importante dell'articolo, quindi la metto subito.
La NIS2 non impone obblighi diretti ai fornitori NIS2 che stanno fuori dal perimetro. L'obbligo appartiene al tuo cliente, che per legge deve presidiare la sicurezza della propria catena di approvvigionamento, compresi i rapporti con i fornitori diretti.
Tradotto: la richiesta che ti arriva è contrattuale, non normativa. Il tuo cliente non ti sta comunicando una legge che ti riguarda. Ti sta chiedendo di aiutarlo a rispettare una legge che riguarda lui.
Cosa comporta in pratica, se sei un freelance o una micro impresa fuori perimetro:
- non devi registrarti sulla piattaforma ACN;
- non devi notificare incidenti all'Agenzia;
- non sei soggetto a verifiche o ispezioni;
- non ti si applicano le sanzioni della NIS2.
Tienilo a mente. Su questo tema circolano offerte di adeguamento costruite sulla paura di una multa che, per te, semplicemente non esiste.
Perché allora ti stanno chiedendo tutto questo
Perché la responsabilità del cliente non si ferma al suo perimetro.
Se un fornitore IT di un soggetto essenziale subisce una violazione che provoca un incidente all'azienda cliente, è l'azienda cliente a risponderne. Il motivo: non aver valutato adeguatamente i rischi del fornitore che ha scelto.
Da qui l'effetto a cascata. La norma italiana non guarda solo ai settori critici, guarda anche alla loro filiera.
Chi fornisce servizi IT, logistici o di manutenzione a un'organizzazione in perimetro entra di fatto nella sua catena di compliance. E chi gestisce i sistemi informativi di un soggetto NIS2 è esattamente il profilo tipico dei fornitori NIS2 rilevanti.
Il perimetro diretto in Italia è ampio: oltre 20.000 organizzazioni, contro le circa 700 della precedente NIS1. Più di 5.000 sono classificate come soggetti essenziali.
Ognuna di loro ha una lista di fornitori. Fai il conto di quante mail come la tua sono partite.
Il calendario che spiega la telefonata che hai ricevuto
Le date aiutano a capire perché la pressione sta aumentando proprio adesso.
- 16 ottobre 2024 — entra in vigore il D.Lgs. 138/2024, che recepisce in Italia la direttiva europea e affida all'ACN vigilanza, ispezione e potere sanzionatorio.
- Dal 12 aprile 2025 — l'ACN comincia a comunicare alle aziende l'inserimento nell'elenco dei soggetti NIS.
- 31 maggio 2026 — le organizzazioni in perimetro devono comunicare all'ACN l'elenco dei propri fornitori rilevanti, aggiornando i contratti con clausole su standard di sicurezza, obblighi di notifica e diritti di audit. È qui che sei finito in una lista.
- 31 ottobre 2026 — scadenza per l'implementazione delle misure di sicurezza di base. Da quella data l'ACN può avviare verifiche e ispezioni: si passa dall'accompagnamento all'enforcement.
Ecco perché i questionari fioccano da mesi e perché da qui a fine ottobre ne arriveranno altri. I tuoi clienti stanno chiudendo la loro checklist, e tu sei una riga di quella checklist.
Il criterio che decide se sei un fornitore rilevante
Non tutti i fornitori NIS2 finiscono nell'elenco. Il criterio centrale è la non fungibilità: sei rilevante quando, se la tua fornitura si interrompe, il cliente non ha un'alternativa reale e attivabile in tempi compatibili con la continuità del servizio.
Vale la pena capire in quale gruppo sei. Se gestisci il sito vetrina di un'azienda manifatturiera, probabilmente non sei critico.
Se invece tieni in piedi il gestionale su cui gira la produzione, o l'e-commerce che fattura, la risposta cambia.
Questo cambia anche il tuo potere negoziale, ed è un aspetto che i fornitori NIS2 sottovalutano quasi sempre. Se sei non fungibile, il cliente ha bisogno di te almeno quanto tu hai bisogno di lui.
Cosa ti chiederanno, concretamente
Le richieste variano, ma il nucleo è quasi sempre lo stesso, perché deriva dagli ambiti che la norma impone al cliente di presidiare:
- Gestione degli accessi — chi, da dove e con quali privilegi tocca i loro sistemi. Autenticazione a più fattori praticamente sempre.
- Gestione degli incidenti — entro quanto avvisi il cliente se hai un problema, e attraverso quale canale.
- Continuità e ripristino — che backup fai, dove li tieni, in quanto tempo rimetti online il servizio.
- Gestione delle vulnerabilità — come tieni aggiornato ciò che gestisci e in quanto tempo applichi una patch critica.
- Crittografia e protezione dei dati — in transito e a riposo.
- Diritto di audit — la possibilità contrattuale che il cliente verifichi quanto hai dichiarato.
Nessuna di queste è una richiesta assurda. Sono cose che un fornitore serio fa già. Il salto, per molti, è metterle per iscritto.
Come rispondere senza svenarti
Il rischio concreto per i fornitori NIS2 di piccola taglia è reagire in due modi sbagliati. Ignorare la mail finché non si perde il cliente, oppure comprare in fretta una certificazione da diecimila euro che nessuno aveva chiesto.
La via di mezzo è più semplice di quanto sembri.
- Scrivi una volta, riusa sempre. Prepara un documento con le tue procedure reali. Al secondo questionario avrai già l'80% delle risposte pronte.
- Dichiara solo quello che fai davvero. Il diritto di audit esiste. Promettere un ripristino in due ore che non sai garantire è un problema contrattuale, non una furbizia.
- Negozia i tempi di notifica. Le clausole standard a volte impongono finestre irrealistiche per una struttura piccola. Si possono discutere.
- Metti a posto le basi. Autenticazione a più fattori ovunque, backup testati davvero, un inventario di cosa gestisci e per chi. Costa poco e risponde a metà delle domande.
- Chiedi al cliente in che categoria ti ha messo. Sapere se ti considera rilevante o no ti dice quanta energia investire.
Attenzione a chi vende paura ai fornitori NIS2
In questi mesi è nato un piccolo mercato di pacchetti "adeguamento NIS2" venduti a freelance e microimprese agitando sanzioni da milioni di euro.
Quelle sanzioni esistono, ma si applicano ai soggetti in perimetro: fino a 10 milioni di euro o il 2% del fatturato mondiale per gli essenziali, 7 milioni o l'1,4% per gli importanti.
Se sei un fornitore fuori perimetro, non sono il tuo rischio.
Il tuo rischio è diverso e più prosaico: perdere il cliente, o non superare la selezione la prossima volta. Che è un ottimo motivo per attrezzarsi, ma richiede risposte proporzionate, non un piano da grande impresa.
Il lato che quasi nessuno guarda: è un'opportunità
Ribalto la prospettiva, perché è così che la vedo io.
Tra i fornitori NIS2 di una stessa azienda, chi risponde a un questionario di sicurezza in due giorni con un documento chiaro e procedure vere si distingue immediatamente da chi risponde in tre settimane o non risponde affatto.
In una fase in cui i clienti stanno rifacendo le liste dei fornitori, essere quello facile da approvare vale più di uno sconto.
E vale anche al contrario. Se sei un'azienda in perimetro e stai scoprendo che i sistemi da cui dipendi sono tenuti insieme da plugin e da un fornitore irreperibile, quella è l'informazione più utile che la NIS2 ti abbia dato.
La sicurezza della filiera non è un modulo da compilare. È accorgersi, prima di un incidente, di quali pezzi non hai il controllo.
Leggi anche
- Vulnerabilità Elementor Pro: come capire se sei già bucato
- WordPress AI Assistant: la verità che nessuno ti dice
- Aprire un e-commerce nel 2026: guida completa per PMI
In sintesi
Se ti è arrivato un questionario, non sei diventato un soggetto NIS2. Sei diventato una riga nella compliance di qualcun altro, e la richiesta che hai in mano è contrattuale.
Rispondi con quello che fai davvero, mettilo per iscritto una volta sola, sistema le basi che ti mancano e non comprare paura. Da qui al 31 ottobre le richieste ai fornitori NIS2 aumenteranno: farsi trovare pronti è, molto banalmente, un vantaggio commerciale.
Se vuoi che guardi con te cosa dichiarare e cosa sistemare prima, scrivimi: parli direttamente con chi il codice e i server li tocca. Anche su WhatsApp, se hai una scadenza addosso.
