In breve
Se lavorate per un'azienda soggetta alla NIS2, quell'azienda deve controllare la vostra sicurezza informatica. Lo fa con questionari, richieste di documenti e clausole nei contratti. La legge può non obbligare voi direttamente, ma il cliente sì.
Perché il cliente vi controlla
La NIS2 chiede alle aziende coinvolte di gestire la sicurezza della catena di fornitura: i rischi che arrivano dai fornitori diretti e dai fornitori di servizi. Se un fornitore con accesso ai sistemi del cliente subisce un attacco, l'attacco può passare al cliente.
Il cliente deve quindi sapere chi siete, a cosa accedete e come vi proteggete. E deve tenerne traccia, perché l'ACN può chiedergli di dimostrarlo.
Siete obbligati anche voi?
Dipende da due cose: il settore in cui lavorate e la vostra dimensione.
- Se siete una media o grande impresa in uno dei settori della NIS2, gli obblighi valgono direttamente anche per voi. Succede spesso a chi gestisce servizi informatici per altre aziende, ai fornitori di servizi digitali e a molte aziende manifatturiere.
- Se siete una piccola impresa, o lavorate in un settore fuori elenco, la legge non vi obbliga. Il vostro cliente però può chiedervi le stesse cose per contratto, e in pratica rispondere bene diventa una condizione per lavorare con lui.
Per capire se rientrate, la guida Cos'è la NIS2 elenca settori e soglie.
Cosa vi chiedono di solito
- Un questionario di sicurezza, quasi sempre un file Excel con domande del tipo «Usate l'autenticazione a più fattori?» e una colonna per le note o le prove.
- Documenti: politica di sicurezza, piano di risposta agli incidenti, procedure di backup, eventuali certificazioni come ISO/IEC 27001.
- Clausole nel contratto: avvisare il cliente in caso di incidente entro un certo numero di ore, permettere verifiche, rispettare requisiti minimi.
- Informazioni sui vostri fornitori, se usate servizi cloud o subfornitori che trattano dati del cliente.
- Aggiornamenti periodici: spesso lo stesso questionario torna ogni anno, o a ogni rinnovo.
Le aree su cui vi controllano
Le domande seguono le dieci aree di misure della NIS2. Questa tabella mostra cosa vi chiede di solito il cliente per ciascuna.
| Area | Cosa chiede il cliente |
|---|---|
| Rischi e politiche | Una politica di sicurezza scritta e approvata, una valutazione dei rischi recente. |
| Incidenti | Chi se ne occupa, come li registrate, in quanto tempo avvisate il cliente. |
| Continuità | Backup regolari, una copia separata, una prova di ripristino fatta davvero. |
| Fornitori | L'elenco dei vostri fornitori critici e come li scegliete. |
| Sviluppo e manutenzione | Aggiornamenti di sicurezza installati con regolarità, gestione delle vulnerabilità. |
| Verifiche | Controlli periodici, interni o esterni, sulle misure in uso. |
| Formazione | Corsi per il personale e la prova che li hanno seguiti. |
| Crittografia | Dati cifrati sui portatili, nei backup e quando viaggiano in rete. |
| Accessi e beni | Account personali, permessi minimi, uscita dei dipendenti gestita, inventario dei dispositivi. |
| Autenticazione | Autenticazione a più fattori su email, VPN e accessi da remoto. |
Da dove partire
- Raccogliete quello che avete già. Politiche, contratti con i fornitori informatici, schermate delle configurazioni, attestati dei corsi. Spesso c'è più di quanto pensiate.
- Nominate una persona che risponde ai questionari e tiene in ordine le prove.
- Coprite le basi: autenticazione a più fattori, backup con una prova di ripristino, aggiornamenti automatici, account personali.
- Scrivete le procedure minime: cosa fate in caso di incidente e chi avvisate.
- Tenete un archivio unico delle risposte, così il secondo questionario costa una frazione del primo.
- Siate onesti su quello che manca. Un «No, previsto entro marzo» è più credibile di un «Sì» che non sapete dimostrare.
Quando arriva il file, la guida come rispondere al questionario NIS2 spiega come compilarlo.
Questa guida dà un quadro generale e non sostituisce il parere di un legale o di un consulente. Per i casi concreti fanno fede i testi ufficiali.
Fonti: Direttiva (UE) 2022/2555 su EUR-Lex · Decreto legislativo 138/2024 su Normattiva · Pagina NIS2 dell'Agenzia per la Cybersicurezza Nazionale