Il tuo cliente ti chiede la conformità NIS2: cosa rispondere (senza panico)

Perché arriva a te, che sei "piccolo"

La NIS2 (in Italia il D.Lgs. 138/2024) obbliga le aziende medio-grandi dei settori critici a gestire i rischi informatici. Tra le misure che devono adottare c'è la sicurezza della catena di approvvigionamento — l'art. 24, comma 2, lettera d) del decreto impone di presidiare anche «i rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi». Tradotto: il tuo cliente grande è obbligato per legge a verificare la sicurezza dei suoi fornitori. E il modo più semplice che ha per farlo è girarti un questionario e infilarti una clausola nel contratto.

È il cosiddetto effetto cascata: l'obbligo formale ce l'ha il cliente, ma la richiesta pratica scende lungo tutta la filiera — e arriva anche a chi ha 5 dipendenti e non rientrerà mai direttamente nel perimetro NIS2. Fornitori del manifatturiero, studi tecnici, software house, logistica, manutentori: chiunque tocchi dati, sistemi o processi del cliente è un candidato al questionario.

Punto fermo: per te non è un obbligo di legge

Chiariamolo subito, perché su questo girano parecchie esagerazioni. Se non sei un soggetto NIS2, non rischi sanzioni dall'Agenzia per la Cybersicurezza Nazionale: le sanzioni (fino a 10 milioni di euro o al 2% del fatturato) riguardano i soggetti obbligati, non i loro fornitori. Quello che rischi tu è diverso, ed è commerciale: la richiesta che ti arriva è contrattuale. Chi non risponde — o risponde male — rischia di non superare la qualifica fornitori, di perdere il rinnovo o di restare fuori dalle gare. Se quel cliente vale una fetta importante del tuo fatturato, il questionario va trattato con la stessa serietà di un ordine.

Cosa chiedono davvero questi questionari

Ne abbiamo visti passare parecchi, e la buona notizia è che si somigliano tutti. Al netto del linguaggio da audit, le voci ricorrenti sono misure di igiene informatica di base:

• Backup verificato, con copia fuori sede e test di ripristino documentati — non «abbiamo un NAS».
• Autenticazione a più fattori (MFA) almeno su email, accessi remoti e sistemi critici.
• Aggiornamenti e patch: come e ogni quanto aggiorni sistemi e programmi, e chi lo controlla.
• Protezione degli endpoint: antivirus gestito su tutti i PC e server, non "installato una volta".
• Gestione degli incidenti: se ti succede qualcosa che tocca il cliente, chi avvisi, come e in quanto tempo.
• Controllo degli accessi: chi può entrare dove, cosa succede agli account di chi lascia l'azienda.
• Formazione di base del personale su phishing e password.
• Continuità operativa: quanto ci metti a ripartire se si ferma tutto.

Nota il punto importante: nessuna di queste cose è esotica. Sono le stesse misure che proteggono la tua azienda a prescindere dal questionario. Chi le ha già in piedi risponde in un pomeriggio; chi non le ha, ha appena ricevuto un ottimo motivo per metterle in piedi.

Come rispondere: onestà prima di tutto

La tentazione di spuntare «sì» ovunque è forte. Resistile, per due motivi. Primo: se poi succede un incidente, le tue dichiarazioni tornano fuori — e un «sì» falso su una misura che non avevi si trasforma in responsabilità contrattuale (e in un rapporto commerciale bruciato). Secondo: gli uffici acquisti seri riconoscono al volo il questionario compilato tutto «sì» in dieci minuti, ed è un segnale peggiore di qualche «no» motivato.

La formula che funziona è un'altra:

1. «Sì» solo dove è vero, possibilmente con un'evidenza allegata: report dei backup, policy MFA, registro degli aggiornamenti. Una prova documentata vale più di dieci autocertificazioni.
2. «In corso di adozione, entro il [data]» dove stai colmando un buco. È una risposta rispettata: dimostra che sai dove sei e dove stai andando.
3. «Non applicabile, perché…» dove la misura non c'entra con la tua fornitura — motivandolo. Un fornitore di stampi non ha bisogno delle stesse misure di chi gestisce il gestionale del cliente.

Cosa NON firmare al buio

Insieme al questionario arriva spesso una clausola contrattuale di sicurezza. Leggila davvero, perché alcune richieste vanno negoziate, non subite:

• Tempi di notifica incidente irrealistici: «entro 2 ore, 24 ore su 24» non è sostenibile se non hai un presidio notturno. Proponi una finestra compatibile con la tua struttura reale.
• Diritti di audit illimitati: ispezioni «in qualsiasi momento, senza preavviso» sui tuoi sistemi. Ragionevole chiedere preavviso, perimetro e frequenza definiti.
• Responsabilità illimitata o penali sproporzionate rispetto al valore della fornitura.
• Pacchetti di requisiti fotocopia, uguali per tutti i fornitori. Le indicazioni pubblicate da ACN sulla catena di fornitura vanno nella stessa direzione: il criterio guida è la proporzionalità — i requisiti devono essere adeguati alla criticità della specifica fornitura, non un modulo standard identico per il fornitore di cancelleria e per chi gestisce i server.

Negoziare non significa fare i furbi: significa firmare impegni che puoi davvero mantenere. Il tuo cliente preferisce un fornitore che promette 24 ore e le rispetta a uno che promette 2 ore e sparisce.

Il rovescio della medaglia: è un'occasione

Ecco la parte che quasi nessuno dice: il questionario è anche un filtro competitivo. Il tuo cliente lo sta mandando a tutti i fornitori, e una parte risponderà male, tardi o per niente. Chi risponde bene — misure vere, evidenze in ordine, tempi rispettati — non solo resta nell'albo: diventa il fornitore comodo, quello che l'ufficio acquisti non deve rincorrere. Lo abbiamo visto succedere con aziende del distretto ceramico e PMI manifatturiere della zona: la stessa richiesta che era arrivata come una tegola è finita in referenza.

E c'è un secondo vantaggio, ancora più concreto: le misure che il questionario ti "impone" — backup verificato, MFA, aggiornamenti gestiti, un piano per gli incidenti — sono esattamente quelle che ti evitano di perdere una settimana di lavoro al prossimo guasto o ransomware. Il cliente ti sta chiedendo di fare cose che convenivano a te per primo.

Da dove iniziare, in pratica

Tre passi, in ordine: (1) fai il punto su dove sei con il quiz di autovalutazione NIS2 gratuito — 10 domande, 5 minuti, nessun dato richiesto; (2) scarica la checklist NIS2 in PDF e confrontala con le voci del questionario che hai ricevuto; (3) se il questionario è già sul tavolo con una scadenza, il percorso NIS2 Ready parte proprio da lì: un assessment di filiera (da € 490) fotografa le misure che hai, colma i buchi tecnici e produce le evidenze documentate per rispondere. Onestà doverosa: la conformità è un processo della tua azienda, non un bollino che qualcuno ti vende — noi mettiamo in piedi la parte tecnica e le prove, le scelte organizzative restano tue.