CYBSicurezza informatica

NIS2 e fornitori: cosa chiedono i clienti nei questionari e come prepararsi

Le aziende soggette alla NIS2 devono valutare e controllare i fornitori che toccano i loro sistemi. Per chi fornisce, tutto arriva come questionari e clausole: che cosa chiedono e come preparare risposte che reggono.

Redazione Strategic 17 settembre 2026 8 min di lettura

Copertina: «NIS2 e fornitori: rispondere ai questionari», Sicurezza informatica

Un fornitore non entra nella NIS2 solo perché ci rientra il suo cliente, ma ne sente comunque gli effetti. Le aziende soggette al decreto legislativo 138/2024 devono valutare il rischio che ogni fornitura porta ai loro sistemi, fissare requisiti di sicurezza, scriverli in gare e contratti e verificare periodicamente che siano rispettati. Per chi fornisce, tutto questo arriva sotto forma di questionario, di clausola nuova o di richiesta di documenti. Prepararsi significa mettere per iscritto, una volta sola e con le prove, come l’azienda protegge accessi, dati e servizi, e tenere aggiornata quella documentazione.

Perché i questionari arrivano proprio adesso?

Perché scadono i termini per le misure di sicurezza di base fissate dall’Agenzia per la Cybersicurezza Nazionale (ACN) con la determinazione 379907 del 19 dicembre 2025. Chi è entrato nell’elenco dei soggetti NIS nel 2025 deve adottarle entro diciotto mesi dalla comunicazione di inserimento: per molti, indica l’ACN, entro ottobre 2026. Chi entra nell’elenco per la prima volta nel 2026 ha tempo fino al 31 luglio 2027.

Un gruppo di quelle misure riguarda la catena di approvvigionamento. Il decreto la mette tra gli elementi minimi della gestione del rischio (articolo 24) e chiede di considerare le vulnerabilità di ogni fornitore diretto e la qualità delle sue pratiche di sicurezza, comprese le procedure di sviluppo sicuro del software.

Un dettaglio spiega il calendario. Secondo le domande frequenti dell’ACN, i contratti già in essere non devono essere modificati per forza; i requisiti di sicurezza sono però obbligatori, salvo ragioni motivate e documentate, nei contratti stipulati, rinnovati o prorogati dopo la scadenza. Le richieste arrivano quindi soprattutto con i rinnovi e con le nuove gare.

Che cosa valuta il cliente prima di scrivere le domande?

Le misure di base elencano cinque criteri per valutare il rischio di una fornitura. Conoscerli aiuta a capire perché una software house riceve un questionario lungo e un’impresa di pulizie, di solito, uno breve: l’ACN chiarisce che i requisiti vanno modulati sulla natura della prestazione e sul rischio concreto.

Criterio del cliente	Che cosa significa per il fornitore	Che cosa conviene avere pronto
Livello di accesso ai sistemi	Accessi remoti, utenze amministrative, integrazioni	Elenco degli accessi, regole per concederli e revocarli
Accesso a dati e proprietà intellettuale	Quali dati si vedono, si copiano, si conservano	Mappa dei dati trattati, luoghi di conservazione, cifratura
Impatto di una grave interruzione	Che cosa succede al cliente se il servizio si ferma	Piano di continuità e alternative
Tempi e costi di ripristino	Quanto serve per tornare operativi	Copie dei dati e prove di ripristino documentate
Ruolo nel governo dei sistemi	Se il fornitore amministra sistemi del cliente	Procedure, persone autorizzate, registri delle attività

Quali domande arrivano più spesso?

Ogni cliente scrive il proprio questionario, ma i requisiti che chiede devono essere coerenti con le misure che applica ai propri sistemi. Per questo le domande tendono a ricalcare le misure di base dell’ACN. I blocchi ricorrenti sono questi.

Organizzazione. Chi è responsabile della sicurezza, chi è il referente per il cliente, come si raggiunge in caso di incidente.
Accessi. Utenze individuali e non condivise, autenticazione a più fattori (la password più un secondo elemento, per esempio un codice sul telefono), utenze amministrative separate da quelle di tutti i giorni, revoca degli accessi quando una persona lascia l’azienda.
Dati e copie. Dove stanno i dati del cliente, chi li vede, come si fanno le copie e quando è stato provato l’ultimo ripristino.
Aggiornamenti e vulnerabilità. Come e con quali tempi si installano gli aggiornamenti di sicurezza, come si gestiscono le debolezze segnalate.
Incidenti. Entro quanto tempo il fornitore avvisa il cliente di un evento che tocca i suoi servizi. L’ACN precisa che il cliente soggetto NIS deve assicurarsi che il fornitore segnali questi eventi con tempestività.
Subfornitori. Chi altro, lungo la catena, ha accesso a sistemi o dati: servizi cloud, assistenza esterna, consulenti.
Persone. Formazione sulla sicurezza, criteri con cui si assegnano ruoli con privilegi elevati.
Verifiche. Data e perimetro dell’ultima verifica tecnica, stato delle correzioni, disponibilità a controlli da parte del cliente.

Come si risponde senza promettere quello che non c’è?

Un «sì» scritto in un questionario diventa facilmente un impegno contrattuale. Per questo le risposte più solide sono di tre tipi: «sì», con il documento che lo dimostra; «in parte», con l’indicazione di che cosa manca; «non ancora», con un piano e una data. Un cliente serio preferisce un piano credibile a una casella spuntata.

Qualche regola pratica:

una sola persona coordina le risposte e raccoglie i contributi di sistemi informativi, amministrazione e ufficio legale, così due clienti non ricevono versioni diverse;
«non applicabile» va motivato: se il servizio non tocca i sistemi del cliente, lo si scrive e lo si spiega;
i termini di avviso si negoziano: un impegno ad avvisare entro poche ore si accetta solo se l’organizzazione è in grado di rispettarlo anche nei giorni festivi;
i dettagli sensibili non si allegano con leggerezza: schemi di rete completi e resoconti delle verifiche tecniche si condividono con un accordo di riservatezza, spesso in forma di sintesi.

Che cosa mettere nella cartella del fornitore?

Un insieme di documenti brevi, datati e con un responsabile, pronti da inviare:

una pagina sull’organizzazione della sicurezza, con ruoli e contatti;
l’elenco dei servizi forniti e dei sistemi che li sostengono;
le regole sugli accessi, con l’autenticazione a più fattori e la revisione periodica delle utenze;
la procedura per le copie dei dati, con il registro delle prove di ripristino;
la procedura per aggiornamenti e vulnerabilità;
la procedura per gli incidenti, con il passaggio che avvisa i clienti e i relativi contatti;
l’elenco dei subfornitori che accedono a sistemi o dati;
il registro della formazione;
la sintesi dell’ultima verifica tecnica, per esempio un penetration test, cioè un attacco simulato e autorizzato, con lo stato delle correzioni;
una sintesi del piano di continuità operativa.

La cartella vale solo se descrive ciò che accade davvero: un documento ben scritto e mai applicato si scopre al primo controllo. Su che cosa determina il costo di una verifica tecnica, l’Osservatorio ha pubblicato una guida su quanto costa un penetration test.

Da dove si parte se il questionario è già arrivato?

Uno scenario tipico: un’azienda di servizi informatici con qualche decina di dipendenti riceve da un cliente del settore energetico un file con decine di domande e una scadenza di due settimane. La sequenza che funziona è questa.

Chiarire il perimetro con il cliente: quali servizi e quali sistemi riguarda il questionario.
Dividere le domande tra quelle con una risposta già documentata, quelle con una risposta mai scritta e quelle che rivelano una mancanza.
Chiudere subito ciò che è rapido, come l’autenticazione a più fattori sugli accessi remoti o la revisione delle utenze.
Rispondere con date per ciò che richiede più tempo, e rispettarle.
Riusare il lavoro: la cartella nata per un cliente serve anche per i successivi.

Conviene anche sapere che cosa succede se un incidente colpisce i sistemi del cliente. Secondo l’ACN la notifica al CSIRT Italia spetta al cliente soggetto NIS, che può coinvolgere il fornitore nella gestione; se il fornitore è a sua volta un soggetto NIS e l’incidente colpisce i suoi sistemi con effetti sul cliente, possono dover notificare entrambi. Le decisioni della direzione in quelle ore sono descritte nell’articolo su chi decide, chi comunica e cosa conservare.

E a San Marino? Gli obblighi descritti sono dei clienti soggetti alla normativa italiana, quindi un fornitore sammarinese riceve le stesse richieste di uno italiano. Per il resto il quadro è diverso e va valutato caso per caso.

In sintesi

Il fornitore di un’azienda soggetta alla NIS2 non ne diventa soggetto per questo, ma riceve questionari, clausole e richieste di prove.
Le misure di base dell’ACN scadono, per molte aziende entrate nell’elenco nel 2025, a ottobre 2026; i requisiti per i fornitori entrano nei contratti nuovi, rinnovati o prorogati.
Il cliente valuta accesso ai sistemi, accesso ai dati, impatto di un’interruzione, tempi di ripristino e ruolo del fornitore.
Le risposte migliori sono verificabili: «sì» con un documento, «in parte» con ciò che manca, «non ancora» con una data.
Una cartella del fornitore, breve e aggiornata, evita di ricominciare da capo a ogni questionario.

Domande frequenti

Un fornitore di un’azienda soggetta alla NIS2 rientra automaticamente nella NIS2?

No. Rientra direttamente solo se svolge una delle attività previste dal decreto e ne ha i requisiti, come può accadere per alcuni servizi informatici gestiti; la verifica va fatta con i propri legali. Negli altri casi riceve dal cliente richieste di natura contrattuale.

Il cliente può chiedere di modificare un contratto già firmato?

Può chiederlo, ma le misure di base non lo obbligano a farlo: secondo l’ACN i requisiti di sicurezza sono obbligatori per i contratti stipulati, rinnovati o prorogati dopo la scadenza fissata per il cliente. Molti clienti li introducono al primo rinnovo.

Nelle risposte bisogna riprendere il testo delle misure ACN?

Non è necessario. L’ACN precisa che i requisiti inseriti nei contratti non devono riprodurre alla lettera le misure di base, ma recepirne il contenuto sostanziale, in proporzione al rischio della fornitura. Anche le risposte funzionano meglio con parole proprie e riferimenti a documenti reali.

Chi deve compilare il questionario in azienda?

Una persona che coordina, di solito il responsabile dei sistemi o della sicurezza, con il contributo di amministrazione e ufficio legale per le parti contrattuali. La firma finale spetta a chi può impegnare l’azienda.

Mettere in ordine la cartella del fornitore, colmare le mancanze che il questionario ha fatto emergere e verificare i sistemi prima che lo chieda il cliente è il lavoro che la divisione Cybersecurity di Strategic svolge per le aziende soggette alla NIS2 e per i loro fornitori.

Fonti

Consultate il 16 settembre 2026.

ApprofondisciCybersecurityVerifiche fatte come le farebbe un attaccante (penetration test), gestione degli incidenti, continuità operativa e aiuto ad adeguarsi alla NIS2, anche per i fornitori.