NIS2 e fornitori: anche una PMI che non rientra nella Direttiva NIS2 può doverne rispettare una parte, se fornisce prodotti o servizi a un’azienda che invece vi rientra. Il motivo è che la normativa chiede ai soggetti obbligati di gestire la sicurezza della propria catena di fornitura. In pratica il cliente vi chiederà di rispondere a un questionario, di accettare requisiti di sicurezza nel contratto, di fornire evidenze e di avvisarlo rapidamente in caso di incidente.
Di seguito vediamo perché succede, cosa chiede di solito un cliente e come prepararsi prima che arrivi la richiesta.
Perché la NIS2 arriva anche a chi non è soggetto
In Italia la Direttiva NIS2 è recepita dal d.lgs. 138/2024. Le aziende che rientrano nel suo perimetro, i soggetti essenziali e importanti, si registrano sulla piattaforma dell’Agenzia per la Cybersicurezza Nazionale e devono adottare una serie di misure di sicurezza. Tra queste c’è la sicurezza della catena di approvvigionamento: il soggetto deve sapere quali fornitori incidono sulla sicurezza dei suoi sistemi e gestirne il rischio.
Il soggetto obbligato non può controllare direttamente i sistemi dei propri fornitori. L’unico strumento che ha è chiedere, valutare e mettere per iscritto. Ecco perché le richieste arrivano alla PMI fornitrice anche se questa non è mai stata inserita nell’elenco.
Per capire se la propria azienda rientra direttamente nella normativa: NIS2 e obblighi per le piccole imprese.
Non tutti i fornitori sono uguali
Il cliente non deve chiedere le stesse cose a tutti. L’impostazione è basata sul rischio: contano di più i fornitori che accedono ai sistemi o ai dati del cliente, quelli la cui interruzione bloccherebbe un servizio importante, quelli che sviluppano o gestiscono software. Un fornitore di servizi informatici, di software o di componenti integrati nei prodotti del cliente riceverà richieste più approfondite di un fornitore di materiale d’ufficio.
Per la PMI fornitrice è un punto importante: il livello di quello che vi verrà chiesto dipende da quanto la vostra fornitura tocca la sicurezza del cliente.
Cosa vi chiederà il cliente, e come prepararsi
| Richiesta del cliente | Come prepararsi |
|---|---|
| Questionario di sicurezza | Tenere pronte risposte aggiornate su accessi, backup, aggiornamenti, formazione e gestione degli incidenti, con un responsabile interno che le firmi. |
| Requisiti di sicurezza nel contratto | Leggerli prima di firmare e verificare di poterli rispettare davvero: un impegno contrattuale non mantenuto pesa più di un requisito negoziato. |
| Evidenze | Documenti che dimostrino le misure: politiche scritte, registri degli accessi, esiti dei backup, attestati di formazione, eventuali certificazioni. |
| Notifica degli incidenti | Avere un piano che preveda chi avvisa il cliente, in quanto tempo e con quali informazioni. |
| Accessi del vostro personale ai sistemi del cliente | Accessi personali, autenticazione a più fattori, elenco aggiornato di chi accede e revoca immediata a fine incarico. |
| Verifiche periodiche | Aspettarsi che il questionario si ripeta e tenere traccia di cosa è cambiato da una volta all’altra. |
Perché la notifica degli incidenti riguarda anche voi
I soggetti NIS2 hanno obblighi di notifica con tempi stretti: un primo avviso entro 24 ore dalla conoscenza di un incidente significativo e una notifica entro 72 ore. Se l’incidente parte da un fornitore, il cliente può rispettare quei tempi solo se il fornitore lo avvisa subito.
Per questo molte clausole contrattuali chiedono al fornitore di comunicare gli incidenti senza ritardo. Per una PMI significa sapere già prima chi decide di avvisare il cliente, con quali contatti e con quali informazioni minime. Per i passi da seguire durante un incidente: attacco informatico in azienda: cosa fare.
Gli errori più comuni
- Rispondere al questionario in modo ottimistico: un «sì» che non si può dimostrare diventa un problema alla prima verifica o al primo incidente.
- Firmare clausole senza leggerle perché il contratto è importante, scoprendo dopo di non poterle rispettare.
- Non avere nessuno che se ne occupa: questionari che passano da un ufficio all’altro e risposte diverse a clienti diversi.
- Aspettare la richiesta: preparare in pochi giorni documenti e misure che servirebbero mesi.
- Pensare che riguardi solo i fornitori informatici: chi accede ai sistemi o ai dati del cliente, anche per manutenzione, rientra spesso tra i fornitori rilevanti.
Da dove partire
- fare l’elenco dei clienti che potrebbero rientrare nella NIS2 e di cosa fornite a ciascuno;
- nominare un referente interno per i questionari e i requisiti di sicurezza;
- preparare un fascicolo di base con le misure in essere e le relative evidenze, da aggiornare a ogni richiesta;
- colmare per prime le lacune più frequenti: autenticazione a più fattori, backup isolati, piano per gli incidenti, formazione.
La checklist qui sotto raccoglie 32 controlli in 8 aree, compresa quella sui fornitori, ed è un buon punto di partenza per prepararsi a un questionario. Per i servizi dedicati alla sicurezza della filiera: helmon per la supply chain. Per approfondire: NIS2 per le PMI, guida pratica.
Questo articolo ha carattere informativo e non sostituisce una consulenza legale sugli obblighi della propria azienda o dei propri clienti.
