«Non siamo soggetti a NIS2, quindi non ci riguarda». È l’equivoco più diffuso — e più rischioso. La maggior parte delle PMI italiane non rientra direttamente in NIS2, ma fornisce prodotti o servizi a un’azienda che invece lo è. E NIS2 obbliga i soggetti a gestire il rischio della catena di fornitura: quegli obblighi arrivano a te per via contrattuale. Ecco cosa aspettarti e come farti trovare pronto.
ℹ️ Contenuto informativo aggiornato a giugno 2026; non sostituisce una consulenza legale.
Perché ti riguarda anche se non sei soggetto
La direttiva NIS2 (in Italia D.lgs 138/2024) impone ai soggetti essenziali/importanti di valutare e gestire i rischi derivanti dai fornitori. In pratica il tuo cliente NIS2:
- deve mappare i fornitori rilevanti per la sicurezza;
- ti chiederà garanzie contrattuali su misure di sicurezza, gestione incidenti e diritto di audit;
- potrebbe doverti inserire tra i fornitori comunicati all’autorità.
Risultato: ricevi un questionario di sicurezza o una richiesta di adeguare il contratto. Chi risponde bene e in fretta vince la gara; chi non sa rispondere viene sostituito.
Cosa ti chiederà il questionario (tipicamente)
- Identità: MFA su tutti gli account, gestione degli accessi con privilegio minimo.
- Endpoint: antivirus/EDR aggiornato, cifratura dei dischi, gestione delle patch.
- Email & dati: anti-phishing, classificazione/DLP, backup con copia off-line.
- Gestione incidenti: esiste un piano? Sai notificare un incidente al cliente entro tempi brevi?
- Continuità: backup testati, RPO/RTO definiti.
- Persone: formazione e awareness, gestione di ingressi/uscite (offboarding).
- Subappalti: i tuoi sub-fornitori sono a loro volta sotto controllo?
Come rispondere (bene)
- Non improvvisare: prepara un set documentale riutilizzabile (policy di sicurezza, piano di incident response, elenco misure). Lo riuserai per ogni cliente.
- Mappa le misure sullo stack che hai: MFA e accessi con Entra ID, EDR/anti-phishing con Defender, patch e cifratura con Intune, backup e DR.
- Misura il punto di partenza: il Microsoft Secure Score è una sintesi oggettiva da allegare.
- Predisponi la notifica incidenti: definisci a chi e in quanto tempo comunichi un incidente al cliente (spesso il contratto chiede tempi stretti).
Trasformalo in un vantaggio commerciale
Essere “NIS2-ready” come fornitore non è solo un costo: è un argomento di vendita verso i clienti strutturati. Documentare le proprie misure apre porte che, a chi non lo fa, si chiudono.
Come ti aiutiamo
SynSphere prepara le PMI fornitrici: assessment delle misure, hardening dello stack Microsoft, piano di incident response e set documentale per i questionari, come parte dell’assistenza cybersecurity gestita. Inquadra il tema nella mappa compliance 2026 e contattaci per essere pronto al prossimo questionario.