NIS2 per i fornitori IT: cosa ti chiederanno i clienti

La NIS2 è stata recepita in Italia con il D.Lgs. 4 settembre 2024, n. 138 (Gazzetta Ufficiale n. 230 del 1° ottobre 2024), in vigore dal 16 ottobre 2024. Si applica ai soggetti dei settori degli allegati I e II che superano i massimali delle piccole imprese (art. 3, comma 2): quindi, di norma, alle medie e grandi imprese. Piccola impresa vuol dire meno di 50 dipendenti e fatturato o totale di bilancio fino a 10 milioni di euro (Raccomandazione 2003/361/CE).

Prima di concludere che non ti riguarda, controlla tre casi:

• Gestisci sistemi dei clienti, anche da remoto, e sei una media impresa o più grande. I «fornitori di servizi gestiti» e i «fornitori di servizi di sicurezza gestiti» sono nell'allegato I, settore 9, «Gestione dei servizi TIC (business-to-business)». La definizione (art. 2, comma 1, lett. iii) comprende installazione, gestione, funzionamento o manutenzione di prodotti, reti, infrastrutture e applicazioni TIC, «nei locali dei clienti o a distanza».
• Sei un'impresa collegata a un soggetto NIS2 e gli fornisci servizi TIC o di sicurezza, anche gestiti: in quel caso la norma si applica a prescindere dalle dimensioni (art. 3, comma 10, lett. d).
• L'ACN ti ha designato, per esempio come elemento sistemico della catena di approvvigionamento (art. 3, comma 9).

Se non sei in nessuno di questi casi, la NIS2 non ti impone obblighi diretti. Ma se tra i tuoi clienti ci sono soggetti essenziali o importanti, i loro obblighi sui fornitori diventano richieste a te.

L'articolo 24 chiede ai soggetti NIS2 misure di gestione dei rischi che comprendono almeno, alla lettera d) del comma 2:

«sicurezza della catena di approvvigionamento, ivi compresi gli aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi»

E il comma 3 dice come valutarle:

«Nel valutare quali misure di cui al comma 2, lettera d), siano adeguate, i soggetti tengono conto delle vulnerabilità specifiche per ogni diretto fornitore e fornitore di servizi e della qualità complessiva dei prodotti e delle pratiche di sicurezza informatica dei propri fornitori e fornitori di servizi, comprese le loro procedure di sviluppo sicuro.»

Sono gli articoli 21(2)(d) e 21(3) della direttiva (UE) 2022/2555. In più, l'articolo 23 rende gli organi di amministrazione dei soggetti NIS2 responsabili dell'approvazione e dell'attuazione di queste misure, e delle violazioni. Per questo il tuo cliente non può accontentarsi di una rassicurazione a voce: deve poter mostrare cosa ha chiesto ai fornitori e come l'ha verificato.

Quando c'è un incidente significativo, il cliente deve inviare al CSIRT Italia una pre-notifica entro 24 ore da quando ne è venuto a conoscenza, una notifica entro 72 ore e una relazione finale entro un mese dalla notifica (articolo 25; le tre scadenze sono spiegate nella pagina NIS2). Se l'incidente parte da un sistema che gestisci tu, quelle 24 ore cominciano anche dalla velocità con cui lo avvisi.

Le misure di sicurezza di base sono fissate dall'Agenzia per la Cybersicurezza Nazionale con la determinazione n. 379907/2025, che sostituisce la n. 164179 del 14 aprile 2025 e si applica dal 15 gennaio 2026 (pagina ACN). L'allegato 1 riguarda i soggetti importanti, l'allegato 2 quelli essenziali. I soggetti hanno 18 mesi dalla comunicazione di inserimento nell'elenco per adottare le misure: per chi l'ha ricevuta ad aprile 2025, ottobre 2026.

Le misure sui fornitori (categoria GV.SC) che ti toccano più da vicino:

Per i soggetti essenziali l'allegato 2 elenca anche gli ambiti minimi dei requisiti da chiedere ai fornitori: tra questi la gestione delle vulnerabilità, la continuità operativa, l'autenticazione e il controllo degli accessi, la registrazione e il monitoraggio, la gestione e segnalazione degli incidenti, gli aggiornamenti di sicurezza, la restituzione e la cancellazione dei dati a fine fornitura e il subappalto.

L'ACN ha chiarito nelle sue FAQ sulla catena di approvvigionamento che non tutti i requisiti delle misure di base vanno necessariamente «ribaltati» sul fornitore: il cliente sceglie quali in base alla fornitura. Aspettati quindi richieste diverse da cliente a cliente.

Le misure si traducono in domande come queste, in un questionario o in un allegato al contratto:

• Quali nostri sistemi gestite, e con quale livello di accesso?
• Chi accede, con account nominativi o condivisi? C'è l'autenticazione a due fattori? Come revocate l'accesso a chi lascia?
• Come gestite vulnerabilità e aggiornamenti di sicurezza, e con quale evidenza?
• Registrate e monitorate gli eventi di sicurezza sui sistemi che gestite? Per quanto tempo li conservate?
• Se c'è un incidente, entro quanto ci avvisate, e con quali informazioni?
• Quali subfornitori usate (hosting, strumenti, servizi cloud), e dove trattano i dati?
• Cosa succede ai dati e agli accessi alla fine del contratto?

Non c'è un certificato «fornitore NIS2». Mettersi in regola vuol dire poter rispondere a quelle domande con fatti e documenti, cliente per cliente:

1. Mappa i clienti NIS2 e, per ciascuno, i sistemi che gestisci e il tuo livello di accesso. È la base del loro inventario fornitori (GV.SC-04).
2. Metti in ordine gli accessi: account nominativi, chiavi SSH al posto delle password, autenticazione a due fattori sui pannelli e sulle console, revoca immediata quando qualcuno lascia.
3. Aggiorna con un metodo: un elenco delle vulnerabilità aperte per server, tempi di correzione, e la prova di cosa è stato applicato e quando.
4. Registra e conserva gli eventi sui server che gestisci, così da poter ricostruire un incidente.
5. Scrivi la procedura incidenti con un tempo di avviso al cliente compatibile con le sue 24 ore, e i contatti di entrambe le parti.
6. Elenca i tuoi subfornitori, con il paese in cui trattano i dati.
7. Concorda le clausole di sicurezza nel contratto, e prevedi la verifica periodica che il cliente deve documentare (GV.SC-07).

InfraFence copre una parte di questo lavoro sui server Linux che gestisci, e ti dà le evidenze da mostrare al cliente:

• Eventi e cronologia per server: attacchi, ban, accessi SSH, file modificati, e ogni azione fatta da una persona o da AutoMode, con approvazioni e annullamenti.
• Vulnerabilità e hardening: controlli di hardening, vulnerabilità (CVE) dei pacchetti installati e un punteggio di sicurezza per server, con un report mensile.
• Accessi alla dashboard: autenticazione a due fattori per ogni utente e un registro delle attività.
• Incidenti: dagli eventi, le bozze di pre-notifica, notifica e relazione finale da rivedere e completare (piani Pro e AutoMode). Le invia sempre il soggetto NIS2, mai InfraFence.
• Un subfornitore documentato: InfraFence è gestito da ComCart Srl, società italiana; dashboard e dati sono in Germania. Cosa legge e cosa invia l'agente è descritto nella pagina Sicurezza, che puoi girare al cliente.

Non copre il resto: i sistemi su cui l'agente non gira, i processi, le persone, i contratti. Non decide se un incidente è significativo, non invia niente all'ACN o al CSIRT, e usarlo non ti rende conforme: ti aiuta a dimostrare cosa fai sui server.

• D.Lgs. 4 settembre 2024, n. 138, su Normattiva: articoli 2, 3, 23, 24 e 25.
• Direttiva (UE) 2022/2555 (NIS2), su EUR-Lex.
• ACN, misure di sicurezza di base: la determinazione e i suoi allegati.
• ACN, FAQ sulle misure di sicurezza e la notifica degli incidenti.
• ACN, la normativa NIS.