NIS2 e catena di fornitura: perché i tuoi clienti ti mandano un questionario di sicurezza, e cosa succede se non lo compili

Da alcuni mesi succede una cosa nuova nelle trattative con imprese medie e grandi. Prima del contratto, a volte prima ancora del preventivo, arriva un documento di venti o trenta domande sulla sicurezza informatica: come conservi i dati, chi vi accede, cosa fai se subisci un attacco, quanto tempo impieghi a comunicarlo. Molti fornitori lo interpretano come una formalità dell'ufficio acquisti e lo compilano male o in ritardo. È un errore di lettura. Quel documento nasce da un obbligo di legge che pesa sul cliente, non sul fornitore, e il cliente non può permettersi di riceverne una risposta vaga.

Da dove arriva l'obbligo

La direttiva europea 2022/2555, nota come NIS2, è stata recepita in Italia con il decreto legislativo 4 settembre 2024, n. 138. Il perimetro è molto più ampio di quello della prima direttiva: secondo i dati dell'Agenzia per la cybersicurezza nazionale l'elenco dei soggetti conta oltre ventimila organizzazioni, di cui più di cinquemila classificate come essenziali, a fronte di oltre trentamila realtà che si sono registrate sulla piattaforma. La piattaforma di autodichiarazione è attiva dal 1 dicembre 2024 e prevede una finestra annuale di aggiornamento tra il 1 gennaio e il 28 febbraio. Energia, trasporti, sanità, acqua, infrastrutture digitali, pubblica amministrazione, ma anche produzione di macchinari, alimentare, chimica e gestione dei rifiuti.

L'articolo che riguarda i fornitori

Il cuore della questione sta nell'articolo 24 del decreto, comma 1 lettera d, che elenca tra le misure obbligatorie la gestione della sicurezza della catena di approvvigionamento, con riferimento esplicito ai rapporti tra ciascun soggetto e i suoi fornitori o prestatori di servizi diretti. Tradotto in pratica: chi rientra nel perimetro deve mappare i propri fornitori critici, inserire nei contratti clausole di sicurezza e di notifica, e verificarne periodicamente le misure. Non è un adempimento delegabile. Ed è la ragione per cui un'azienda che non ha alcun obbligo diretto si trova comunque a rispondere di come tratta i dati, perché il proprio cliente deve poterlo documentare.

Le date che contano nel 2026

I termini decorrono dalla comunicazione di inserimento nell'elenco: nove mesi per attivare i meccanismi di notifica degli incidenti, diciotto mesi per implementare le misure di sicurezza di base. Per la prima ondata di soggetti questo significa che la notifica è pienamente operativa dal 15 gennaio 2026, con pre notifica entro ventiquattro ore dalla scoperta, notifica completa entro settantadue ore e relazione finale entro un mese, e che il termine per la conformità alle misure di base cade il 31 ottobre 2026. Le misure sono state dettagliate dalla determinazione ACN n. 379907/2025: trentasette misure per i soggetti importanti e quarantatré per gli essenziali.

L'obbligo nuovo di aprile

Il 13 aprile 2026 l'Agenzia ha adottato la determinazione n. 127437/2026, che introduce la dichiarazione dei fornitori rilevanti attraverso il portale dell'Agenzia stessa. Un fornitore è rilevante quando la sua indisponibilità o compromissione produrrebbe un impatto significativo su un processo critico del soggetto obbligato. La dichiarazione richiede ragione sociale, codice fiscale, Paese, categoria del servizio, livello nella catena di fornitura, processi critici toccati, garanzie contrattuali e certificazioni possedute. Significa che il nome di un fornitore finisce in un elenco consultabile dall'Agenzia, e che le informazioni fornite in fase di gara diventano una dichiarazione con conseguenze, non un documento di cortesia.

Cosa conviene fare a chi vende

La prima mossa è capire se i propri clienti principali sono nel perimetro, cosa che si deduce dal settore e dalla dimensione. La seconda è preparare una volta sola un documento di risposta standard, con le informazioni che vengono chieste sempre: dove risiedono i dati, chi li tratta, quali certificazioni esistono, quali tempi di notifica si garantiscono, quali subfornitori intervengono. La terza è dichiarare con precisione quello che non si ha, perché una risposta onesta si gestisce mentre una risposta gonfiata emerge in verifica. Il tema si incrocia con quello dell'ingresso negli elenchi fornitori, di cui abbiamo scritto in /trovare-clienti/albo-fornitori-e-procurement-come-si-entra. Le sanzioni per chi è obbligato arrivano a dieci milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali, a sette milioni o all'1,4% per gli importanti: è il motivo per cui la pressione si scarica a valle, sui fornitori.