NIS2 e fornitori: la sicurezza della catena di approvvigionamento

Molti attacchi informatici non entrano dalla porta principale, ma da un fornitore: l'assistenza IT con accesso da remoto, il gestionale in cloud, il manutentore delle macchine collegate in rete. Per questo la NIS2 mette la sicurezza della catena di approvvigionamento tra gli elementi minimi delle misure di sicurezza (art. 24, c. 2, lett. d).

Questa guida ha due lati: cosa deve fare con i fornitori chi è soggetto NIS2, e cosa cambia per il fornitore, in particolare per l'azienda informatica.

Cosa dice la legge

Il decreto chiede di occuparsi dei rapporti con i fornitori diretti (art. 24, c. 2, lett. d) e di tenere conto, per ciascuno, delle sue vulnerabilità specifiche, della qualità complessiva dei suoi prodotti e delle sue pratiche di sicurezza, comprese le procedure di sviluppo sicuro (art. 24, c. 3). Vanno considerate anche le valutazioni dei rischi delle catene di fornitura critiche fatte a livello europeo.

Le misure di sicurezza di base dell'ACN traducono questi principi in requisiti concreti, raccolti soprattutto nella categoria GV.SC.

Cosa chiedono le misure dell'ACN

1. Conoscere i fornitori. Tenete un inventario aggiornato dei fornitori le cui forniture possono incidere sulla sicurezza dei sistemi, con il referente da contattare e il tipo di fornitura (GV.SC-04), e l'inventario dei servizi che vi forniscono (ID.AM-04).
2. Valutarne il rischio. Dentro la valutazione del rischio aziendale, valutate per ogni fornitura almeno: quanto accesso ha il fornitore ai vostri sistemi, a quali dati e proprietà intellettuale, cosa succede se la fornitura si interrompe, quanto tempo e quanto costa ripartire, che ruolo ha il fornitore nella gestione dei sistemi (GV.SC-07).
3. Fissare requisiti di sicurezza. Per gli acquisti che toccano la sicurezza, coinvolgete chi se ne occupa fin dalla progettazione e definite requisiti proporzionati al rischio (GV.SC-01).
4. Scriverli nel contratto. I requisiti vanno inseriti in richieste di offerta, contratti e accordi (GV.SC-05). Secondo l'ACN l'obbligo vale per i contratti firmati, rinnovati o prorogati dopo il termine per le misure: non serve rifare quelli in corso (FAQ MSB.12).
5. Verificarli. Controllate periodicamente, e documentate, che le forniture rispettino i requisiti (GV.SC-07). Il testo non dice ogni quanto: una verifica all'anno è una scelta ragionevole.
6. Scrivere i ruoli. Se persone del fornitore hanno un ruolo nella vostra sicurezza, per esempio il tecnico che fa da amministratore di sistema, quel ruolo entra nella vostra organizzazione per la sicurezza (GV.SC-02).

Cosa mettere nel contratto

Per i soggetti essenziali le misure elencano gli ambiti da considerare, quando applicabili (GV.SC-01). Sono una buona traccia anche per gli importanti:

• ruoli e responsabilità nella fornitura e affidabilità del personale che ci lavora;
• accessi: chi accede, come si autentica (con più fattori sui sistemi rilevanti), come si tracciano accessi e attività;
• aggiornamenti e vulnerabilità: tempi di applicazione delle patch, manutenzione ordinaria ed evolutiva;
• continuità: backup, ripristino, tempi di intervento;
• incidenti: obbligo di avvisarvi subito e di aiutarvi nella gestione e nella notifica;
• sviluppo sicuro, se il fornitore scrive software per voi;
• audit e verifiche di conformità;
• fine del rapporto: restituzione e cancellazione dei dati;
• subappalti: quali requisiti si trasferiscono ai subfornitori.

Un certificato del fornitore (per esempio ISO/IEC 27001) è una buona prova per la verifica, ma le misure dell'ACN non lo chiedono. Se c'è, controllate che il suo campo di applicazione copra il servizio che vi danno e segnatevi la scadenza.

I fornitori rilevanti da comunicare all'ACN

Dal 2026, nell'aggiornamento annuale dal 15 aprile al 31 maggio, ogni soggetto NIS indica all'ACN i suoi fornitori rilevanti (det. 314287/2026, artt. 1 e 18). Un fornitore è rilevante se soddisfa almeno uno di due criteri:

• fornitura ICT: vi fornisce servizi delle infrastrutture digitali o servizi informatici gestiti, cioè le attività dell'allegato I, punti 8 e 9 (cloud, data center, telecomunicazioni, servizi gestiti e di sicurezza gestiti, e simili);
• fornitura non fungibile: se si interrompe, i vostri servizi NIS ne risentono in modo significativo, anche perché non ci sono alternative.

Per ciascuno si indicano denominazione, codice fiscale, Paese, codici CPV e criterio. L'ACN usa questi elenchi per individuare i fornitori che sono un elemento critico della catena e che potrebbe far entrare nella NIS2 (art. 3, c. 9, lett. f).

Se il fornitore siete voi

Essere fornitori di un soggetto NIS non basta per entrare nella NIS2 (FAQ ACN AMB.GE.6). Ma per un'azienda informatica la situazione va guardata con attenzione, perché può essere dentro per conto suo:

• servizi gestiti: se siete almeno una media impresa e gestite sistemi dei clienti come servizio continuativo, siete un fornitore di servizi gestiti (allegato I), quindi soggetto importante, o essenziale se grande. Per l'ACN serve un collegamento diretto tra la vostra rete e quella del cliente, con assistenza o amministrazione attiva; non basta lavorare su dispositivi del cliente o dare istruzioni (FAQ A1.9.3);
• servizi di sicurezza gestiti, come un SOC o il monitoraggio per conto dei clienti, e cloud, compreso il software venduto come servizio: stesse soglie, stesso allegato;
• società del gruppo: se fornite servizi informatici o di sicurezza a una società del vostro gruppo che è soggetto NIS, siete dentro a prescindere dalla dimensione (art. 3, c. 10).

Resta incerto il caso della software house che vende solo licenze o aggiornamenti, senza gestire i sistemi del cliente. Per i fornitori di servizi gestiti che sono soggetti NIS vale anche il regolamento di esecuzione (UE) 2024/2690, con requisiti tecnici e cadenze proprie.

Se invece siete fuori, i vostri clienti NIS2 vi chiederanno comunque molto: clausole contrattuali, questionari, nomi delle persone con ruoli nella loro sicurezza, e soprattutto documenti periodici: report dei backup e dei test di ripristino, report degli aggiornamenti, esiti dei vulnerability assessment, stato dell'autenticazione a più fattori. Vi chiederanno anche di avvisarli subito degli eventi che li riguardano, perché la notifica al CSIRT tocca a loro (FAQ ISB.F.1; vedi la notifica degli incidenti). Il caso delle piccole imprese fornitrici è in NIS2 e PMI.

A livello europeo si discute di linee guida per evitare che gli obblighi vengano scaricati sui fornitori fuori dall'ambito (proposta COM(2026) 13), ma non sono legge.

In pratica

1. Fate l'elenco dei fornitori che toccano i vostri sistemi, con un referente per ciascuno.
2. Segnate i critici e quelli da comunicare all'ACN come rilevanti.
3. Preparate un allegato di sicurezza standard da usare a ogni nuovo contratto o rinnovo.
4. Concordate con il fornitore IT quali report vi manda e ogni quanto, e tenete traccia di quando arrivano.

Nella quinta tappa Pilot raccoglie fornitori e servizi in un unico elenco. Ogni fornitore riceve un link personale: lo apre senza account, vede solo i documenti che gli avete assegnato e carica le versioni aggiornate, e se un documento sta per scadere riceve un promemoria via email. Provatelo gratis; i documenti da chiedere sono in i documenti da tenere aggiornati.

Domande frequenti