NIS2 per i fornitori: che cosa ti chiederanno i tuoi clienti
Perché un'azienda fuori dal perimetro NIS2 riceve comunque questionari di sicurezza, che cosa contengono e che cosa invece resta compito del cliente.
Aggiornato il 15 settembre 2026
Perché ricevi questionari anche se la NIS2 non ti riguarda
La NIS2 è stata recepita in Italia con il decreto legislativo 138 del 2024, in vigore dal 16 ottobre 2024. Riguarda le aziende dei settori critici elencati negli allegati del decreto, i cosiddetti soggetti essenziali e importanti. Se sei una piccola azienda di un altro settore, di solito non hai obblighi diretti.
I tuoi clienti in perimetro però sì. Le misure di sicurezza di base fissate dall'Agenzia per la cybersicurezza nazionale (determinazione n. 379907 del 2025) chiedono loro di controllare la sicurezza della propria catena di fornitura. Il modo più semplice per farlo è mandare un questionario ai fornitori. Ecco perché ne ricevi, spesso diversi da un cliente all'altro.
Che cosa ti chiedono: i 17 ambiti
La misura GV.SC-01, punto 2 elenca gli ambiti che un soggetto essenziale deve considerare quando fissa i requisiti di sicurezza per i fornitori. Sono diciassette, dalla lettera a alla lettera q:
- affidabilità del fornitore, compresa l'assistenza nel tempo
- ruoli e responsabilità nella fornitura
- affidabilità del personale
- conformità e verifiche di sicurezza
- gestione delle vulnerabilità
- continuità operativa e ripristino
- autenticazione, identità e controllo degli accessi
- sicurezza fisica
- formazione del personale
- sicurezza dei dati
- protezione di reti e comunicazioni
- monitoraggio degli eventi di sicurezza
- gestione e segnalazione degli incidenti
- sviluppo sicuro del software
- manutenzione e aggiornamenti di sicurezza
- fine della fornitura, con restituzione e cancellazione dei dati
- subappalto e subfornitura
Quasi tutti i questionari che ricevi ruotano intorno a questi temi, con parole diverse. Rispondere bene una volta, con le prove in ordine, ti permette di riusare la stessa risposta con tutti.
Questo elenco compare nell'Allegato 2 delle misure ACN, quello dei soggetti essenziali. I soggetti importanti hanno una misura più breve, ma nella pratica chiedono spesso le stesse cose.
Che cosa invece resta compito del cliente
Due misure riguardano il rapporto con il singolo fornitore e le deve svolgere il cliente, non tu:
- GV.SC-04: il registro dei fornitori, con il referente e la tipologia di ogni fornitura.
- GV.SC-07, punto 1: la valutazione del rischio di ogni fornitura, cioè quanto accedi ai suoi sistemi e ai suoi dati, quanto pesa un'interruzione, quanto costa ripristinare.
Puoi aiutarlo dando informazioni chiare, ma la valutazione è sua: dipende da come usa quello che gli fornisci.
Come prepararti
- Raccogli le prove che hai già: contratti, procedure, registri della formazione, impostazioni dell'autenticazione a più fattori.
- Per ogni ambito scrivi in due righe che cosa fai oggi e che cosa manca.
- Chiedi al tuo fornitore IT le risposte tecniche che non conosci.
- Tieni tutto datato e aggiornalo almeno una volta l'anno.
Il passaporto NormaNexo segue esattamente questi ambiti: guarda quali copre e quali lascia fuori.