Sta succedendo da mesi, e nella maggior parte dei casi arriva senza preavviso: un cliente importante manda un questionario di sicurezza informatica. Ottanta domande, a volte centottanta. Politiche di accesso, backup, gestione degli incidenti, formazione del personale, elenco dei subfornitori. In fondo, la frase che fa alzare la pressione: il rinnovo del contratto è subordinato all'esito.
E voi non siete un soggetto NIS2. Non avete ricevuto nessuna comunicazione dall'ACN, non siete in nessun elenco, il vostro codice ATECO non compare in nessun allegato.
Vi state chiedendo la cosa giusta: perché tocca a noi?
La risposta breve è che dal 2026 la NIS2 non si applica più solo a chi ci rientra. Si applica, per contratto, anche a chi lo fornisce. E c'è un passaggio formale, avvenuto nella primavera del 2026, che quasi nessuno ha raccontato ai fornitori.
Il vostro nome è probabilmente già in un elenco dell'ACN
Nell'aprile del 2026 l'Agenzia per la Cybersicurezza Nazionale ha introdotto un adempimento nuovo: i soggetti NIS devono dichiarare all'Agenzia, sulla piattaforma dedicata, l'elenco nominativo dei propri fornitori rilevanti. Non una descrizione generica delle categorie di fornitura: nome, codice fiscale, Paese della sede legale, codici CPV della fornitura e il criterio per cui il fornitore è considerato rilevante.
La prima finestra si è chiusa il 31 maggio 2026.
Un fornitore è "rilevante" quando ricorre almeno una di due condizioni. La prima è che la fornitura rientri fra infrastrutture digitali o servizi TIC gestiti. La seconda è più larga e riguarda molte più aziende: l'interruzione della fornitura avrebbe un impatto significativo sulla capacità operativa del cliente. È il criterio della non fungibilità — non "siete importanti", ma "non abbiamo un sostituto reperibile in tempi accettabili".
Il che significa che ci finiscono dentro cose a cui non pensereste: chi fornisce connettività, chi fa manutenzione ai PLC di linea, chi gestisce il gestionale, chi produce un componente che nessun altro produce con quelle tolleranze.
Se fornite un'utility, un ospedale, una banca, un operatore di trasporto, una società di logistica, un'azienda alimentare di dimensioni rilevanti o una pubblica amministrazione, e la vostra fornitura non è banalmente sostituibile, la vostra ragione sociale e la vostra partita IVA sono con ogni probabilità già state trasmesse all'ACN. Senza che nessuno fosse tenuto a comunicarvelo.
Questo non vi rende soggetti NIS2. Non fa scattare per voi nessun obbligo di legge, nessuna sanzione, nessun termine. Ma spiega perché il questionario è arrivato, e spiega perché arriverà di nuovo.
Perché il vostro cliente ha fretta proprio adesso
C'è una data che governa il comportamento di tutti i vostri clienti soggetti a NIS2, e conviene conoscerla perché è la ragione della pressione che state ricevendo.
I soggetti inseriti nell'elenco nazionale nel 2025 hanno diciotto mesi dalla ricezione della comunicazione di inserimento per adottare le misure di sicurezza di base. Il termine dei diciotto mesi è nel testo della determinazione ACN notificata alla Commissione europea, quindi è un dato solido. Per la prima ondata di soggetti quel conteggio porta a ottobre 2026.
Da quel momento l'ACN cambia postura: finisce la fase di accompagnamento e comincia quella di verifica e ispezione. Per i soggetti essenziali la vigilanza è ex ante — cioè non aspettano che succeda qualcosa. Per gli importanti è ex post.
E le misure di sicurezza di base includono la gestione della sicurezza della catena di approvvigionamento. Che tradotto vuol dire: il vostro cliente deve dimostrare all'ACN di aver fatto qualcosa su di voi. Non gli basta dire che vi conosce da vent'anni e che siete bravi.
Ecco perché il questionario. E anche perché è arrivato tardi, mal fatto e con scadenze irragionevoli: molti ci sono arrivati in ritardo e stanno scaricando a valle la propria corsa.
Sapere questo cambia la conversazione. Non state trattando con un cliente che vuole vessarvi: state trattando con un cliente che ha un problema di evidenze documentali e una data addosso. È una posizione negoziale, non un ultimatum.
La leva che quasi nessun fornitore usa: i requisiti vanno modulati
Qui c'è il punto più utile di tutto l'articolo, e vale la pena leggerlo due volte.
Nel luglio del 2026 l'ACN ha aggiornato le proprie FAQ sulle misure di sicurezza relative alla catena di fornitura. Il contenuto, per come è stato riportato da più fonti indipendenti, stabilisce un principio che ribalta la prassi dei questionari-fotocopia: il soggetto NIS non deve ribaltare integralmente sui fornitori tutte le misure di sicurezza di base, né l'intero impianto degli obblighi che gravano su di lui.
I requisiti vanno selezionati e modulati in funzione del rischio effettivamente associato a quella specifica fornitura, della sua criticità e del contesto — fino, esplicitamente, all'esclusione di intere categorie di misure quando non pertinenti.
Il percorso che il cliente dovrebbe seguire è in quattro fasi: valutare il rischio associato alla fornitura, individuare i requisiti di sicurezza proporzionati a quel rischio, recepirli in contratto, verificarne il rispetto nel tempo.
Quello che invece riceve la maggior parte dei fornitori è un questionario unico, uguale per il gestore del data center e per chi consegna i pasti in mensa.
Se il pacchetto che vi hanno mandato è manifestamente sproporzionato rispetto a ciò che voi effettivamente toccate, avete una base documentale per ridiscuterlo. Non è un'obiezione commerciale del tipo "è troppo": è un argomento fondato su come l'Agenzia dice che quel processo va fatto.
La formulazione che funziona, nella nostra esperienza, è questa: chiedere per iscritto quale valutazione del rischio ha portato ad attribuire alla vostra fornitura quel livello di requisiti. Nella maggior parte dei casi quella valutazione non esiste, perché il questionario è stato comprato o scaricato. E la conversazione si sposta immediatamente su un piano più ragionevole.
Cosa vi stanno chiedendo davvero
Al netto della lunghezza, i questionari coprono sistematicamente sette aree. Conoscerle in anticipo vi permette di prepararvi una volta sola invece di rincorrere ogni cliente.
Gestione degli accessi. Chi ha accesso a cosa, come vengono create e revocate le utenze, se c'è autenticazione a più fattori, come sono gestiti gli account amministrativi e quelli dei fornitori esterni.
Backup e ripristino. Non se fate i backup — quello lo dicono tutti. Se avete testato il ripristino, quando, con quale esito e chi era presente. È la domanda su cui cade più della metà delle aziende.
Gestione degli incidenti. Se esiste una procedura scritta, chi la attiva, entro quanto avvisate il cliente, come classificate la gravità.
Continuità operativa. Cosa succede se vi si ferma tutto per tre giorni. Se esiste un piano, se è stato provato.
Sicurezza del personale. Formazione, consapevolezza, procedure per chi entra e chi esce dall'azienda.
Sicurezza dei sistemi. Aggiornamenti, gestione delle vulnerabilità, segmentazione della rete, protezione degli endpoint.
I vostri subfornitori. Chi sono quelli critici, e cosa avete fatto voi su di loro. Sì: la catena continua anche sotto di voi.
Come si risponde bene: un dossier, non una rincorsa
L'errore che vediamo più spesso è rispondere ad hoc, ogni volta da capo, con il commerciale che gira le domande all'informatico via WhatsApp la sera prima della scadenza.
L'approccio che funziona è costruire un dossier di risposta riutilizzabile, una volta, e poi adattarlo. Serve a rispondere in tre giorni invece che in tre settimane, e serve soprattutto a rispondere in modo coerente a clienti diversi — perché se due vostri clienti si parlano, e nel vostro settore si parlano, le risposte discordanti sono un problema.
Il dossier minimo contiene: una politica di sicurezza informatica di due o tre pagine approvata dalla direzione, la procedura di gestione degli accessi, l'evidenza che l'autenticazione a più fattori è attiva sui servizi esposti, la documentazione dei backup con il verbale dell'ultimo test di ripristino, una procedura di gestione degli incidenti con i tempi di notifica al cliente, un piano di continuità operativa, l'evidenza della formazione erogata al personale con date e partecipanti, e l'elenco dei vostri subfornitori critici.
Non serve che sia perfetto. Serve che esista, che sia datato e che qualcuno in azienda sappia dov'è.
Una nota che vale i soldi che costa: non partite dalla certificazione. La ISO/IEC 27001 può essere una risposta efficiente se molti clienti la chiedono e se avete un volume di questionari che giustifica l'investimento. Ma non è un obbligo di legge NIS2, non sostituisce le evidenze specifiche che il cliente deve raccogliere, e spendere trenta o quarantamila euro per chiudere una discussione con un cliente che vi fa il 4% del fatturato è una decisione che va presa con i numeri davanti, non sotto pressione.
Le clausole contrattuali: cosa guardare prima di firmare
Il questionario è la parte visibile. La parte che vi resta addosso per anni è il contratto. Cinque punti su cui vale la pena spendere mezz'ora con qualcuno che li capisca.
Il diritto di audit. È legittimo che il cliente lo chieda. Non è legittimo che sia illimitato. Negoziate perimetro (quali sistemi, quali sedi), preavviso (dieci giorni lavorativi è ragionevole), frequenza (una volta l'anno salvo incidenti) e chi paga. Un diritto di audit senza limiti su un fornitore piccolo è una clausola che, se esercitata davvero, vi ferma l'azienda.
I tempi di notifica degli incidenti. Qui si firmano gli impegni più pericolosi. Se non avete un presidio attivo ventiquattr'ore su ventiquattro, non firmate un obbligo di notifica entro un'ora: state promettendo una cosa che non potete mantenere, e il giorno in cui succede davvero sarete inadempienti oltre che sotto attacco. Chiedete tempi compatibili con la vostra struttura reale — "entro 24 ore dalla presa in carico durante l'orario lavorativo" è una formulazione difendibile per molte PMI.
La responsabilità. Verificate se il contratto vi rende responsabili di danni indiretti o di fermo produttivo del cliente. Un massimale legato al valore del contratto è la norma; una responsabilità illimitata su un contratto da 40.000 euro l'anno non lo è.
I subfornitori. Molti contratti impongono di comunicare e talvolta di far approvare i subfornitori. Se lavorate con freelance o con partner tecnologici, capite in anticipo cosa state accettando.
Gli effetti della non conformità. Distinguete fra "il cliente può chiedere un piano di rientro" e "il cliente può risolvere il contratto con effetto immediato". Sono due mondi diversi.
Cosa rischiate davvero (e cosa no)
Mettiamo a posto le proporzioni, perché la narrativa commerciale su questi temi tende a gonfiare.
Non rischiate le sanzioni NIS2. Le sanzioni previste dal decreto italiano — che per i soggetti essenziali arrivano a 10 milioni di euro o al 2% del fatturato mondiale annuo, e per gli importanti a 7 milioni o all'1,4% — si applicano ai soggetti inseriti negli elenchi. Non a voi, che non ci siete. Chi vi dice che rischiate quelle cifre vi sta vendendo qualcosa.
Non diventate automaticamente soggetti NIS2 per il fatto di essere stati dichiarati fornitori rilevanti. Il decreto consente all'autorità di includere nel perimetro soggetti in ragione della criticità della fornitura, e questo rende l'ipotesi plausibile in prospettiva, ma ad oggi nessuna fonte afferma che l'inclusione sia automatica. Chi ve lo dice sta anticipando.
Rischiate il contratto. Questo sì, ed è concreto. Le clausole che subordinano il rinnovo alla conformità stanno diventando prassi, e un cliente sotto ispezione che non riesce a documentare cosa ha fatto sui fornitori ha un incentivo diretto a sostituire quelli che non rispondono. Il rischio non è una multa: è il fatturato.
Il modo giusto di dimensionare l'investimento è quindi commerciale, non normativo. Calcolate quale quota del vostro fatturato dipende da clienti soggetti a NIS2, DORA o appalti pubblici. Quella percentuale è la misura di quanto conviene spendere.
Da fare questa settimana
- Chiedete per iscritto ai clienti principali se vi hanno inseriti nell'elenco dei fornitori rilevanti trasmesso all'ACN e con quale criterio di rilevanza. È un'informazione che li riguarda e che di norma condividono senza problemi.
- Mappate l'esposizione: quanto fatturato dipende da soggetti NIS o da appalti pubblici.
- Recuperate cosa avete già. Molte aziende hanno backup testati, MFA e procedure, ma non le hanno mai messe su carta. Metà del lavoro è documentazione di cose che fate già.
- Prima di rispondere al prossimo questionario, chiedete quale valutazione del rischio lo ha generato.
- Non firmate tempi di notifica che non potete rispettare.
Le domande che ci fanno
Il mio cliente mi ha inserito in una lista mandata all'ACN senza dirmelo. Cosa può farci l'Agenzia? Mi arriva un'ispezione?
L'elencazione serve all'Agenzia per avere la mappa delle dipendenze critiche del Paese, non per aprire procedimenti sui fornitori. Non fa scattare per voi nessun obbligo e non è previsto che l'ACN venga a controllarvi in quanto fornitori. Chi verrà a chiedervi conto, semmai, è il cliente.
Non sono nell'elenco NIS. Se sbaglio qualcosa, la multa la prendo io o il mio cliente?
Il vostro cliente. Le sanzioni del decreto colpiscono i soggetti inseriti negli elenchi, e voi non ci siete. Quello che rischiate voi è contrattuale: penali, mancato rinnovo, sostituzione.
Mi è arrivato un questionario di 180 domande da un cliente che mi fa il 4% del fatturato. Posso dire che è sproporzionato senza perdere il contratto?
Sì, e avete una base per farlo. Le FAQ dell'Agenzia stabiliscono che i requisiti vanno modulati sul rischio effettivo della fornitura, fino a escludere intere categorie di misure. Chiedete per iscritto quale valutazione del rischio ha prodotto quel questionario: nella maggior parte dei casi non esiste, e la conversazione si sposta su un piano ragionevole.
Mi conviene fare la ISO 27001 e chiudere lì la questione?
Dipende da quanti clienti ve la chiedono. Non è un obbligo NIS2 e non sostituisce le evidenze specifiche che il cliente deve comunque raccogliere. Se i questionari sono due l'anno, costa più della cura; se sono venti, comincia ad avere senso.
Nel contratto c'è il diritto di audit. Possono presentarsi in azienda quando vogliono?
Solo se lo firmate così. È normale che il cliente chieda un diritto di verifica, non è normale che sia illimitato: negoziate perimetro, preavviso, frequenza e chi paga. Dieci giorni lavorativi di preavviso e una volta l'anno salvo incidenti è una posizione difendibile.
Mi chiedono di notificare gli incidenti entro un'ora, ma non ho un presidio notturno. Cosa posso accettare?
Non quello. Firmare un tempo che non potete rispettare significa essere inadempienti proprio nel giorno peggiore. Proponete un termine ancorato alla vostra realtà operativa, per esempio ventiquattr'ore dalla presa in carico durante l'orario lavorativo, e mettetelo per iscritto.
Chi decide se la nostra fornitura è "non fungibile"? Possiamo contestarlo?
Lo valuta il cliente, sulla base dell'impatto che l'interruzione avrebbe sulla sua operatività. Potete discuterne, ma prima chiedetevi se vi conviene: essere considerati non sostituibili è una posizione commerciale forte, non solo un fastidio burocratico.
Devo girare le stesse domande ai miei fornitori?
Per le forniture davvero critiche sì, ed è una delle cose che il cliente vi chiederà di dimostrare. Non serve un questionario: serve sapere chi sono, cosa succede se si fermano, e avere una risposta scritta da loro.
Nota sulle fonti
Su questo tema circola molta imprecisione, quindi diciamo com'è. Il termine di diciotto mesi per l'adozione delle misure di base è confermato dal testo della determinazione ACN notificata al sistema TRIS della Commissione europea. La determinazione dell'aprile 2026 sull'elencazione dei fornitori rilevanti, la finestra 15 aprile – 31 maggio 2026 e le FAQ ACN del luglio 2026 sulla modulazione dei requisiti sono riportate in modo concordante da più fonti professionali indipendenti, ma il portale dell'Agenzia non è risultato consultabile in modo automatico al momento della stesura: se dovete prendere una decisione contrattuale o di spesa, fate verificare il testo originale su acn.gov.it.
Non risultano ad oggi sanzioni NIS2 pubblicamente documentate in Italia.
Se volete una mano
Noi lavoriamo con PMI del Triveneto e di Milano che si trovano esattamente in questa posizione: fornitori solidi, tecnicamente a posto, che non hanno mai avuto bisogno di scrivere quello che fanno. Il lavoro utile, quasi sempre, è meno di quanto temono — e va fatto una volta sola.
Se vi è arrivato un questionario e volete capire cosa rispondere prima di impegnarvi, scriveteci: guardiamo insieme cosa vi stanno chiedendo davvero.
Articoli correlati: