NIS2: a chi si applica, e cosa chiede ai fornitori delle aziende coinvolte

A cura di Solucom · 22 Ottobre 2026

La NIS2 si applica alle medie e grandi imprese che operano in uno dei 18 settori indicati dal decreto, più alcune attività digitali che rientrano a prescindere dalle dimensioni. In Italia la regola è il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024, e l’autorità è l’Agenzia per la cybersicurezza nazionale (ACN).

Molte PMI, quindi, ne sono fuori. Ma nel 2026 parecchie di loro hanno ricevuto lo stesso un questionario sulla sicurezza, una clausola nuova nel contratto o una richiesta di «adeguamento NIS2». Il motivo è che i loro clienti ci rientrano, e la NIS2 chiede a quei clienti di occuparsi anche della sicurezza dei propri fornitori.

Qui spieghiamo chi rientra, perché la richiesta arriva anche a chi non rientra, e cosa preparare da fornitore. Ci occupiamo della parte tecnica e operativa: per l’inquadramento giuridico della tua azienda serve un legale o un consulente specializzato.

Chi rientra nella NIS2

Il decreto copre 18 settori: 11 definiti altamente critici e 7 critici. Tra i primi ci sono energia, trasporti, sanità, acqua, infrastrutture digitali e gestione dei servizi ICT tra imprese (i fornitori di servizi gestiti e di sicurezza gestita). Tra i secondi servizi postali e di corriere, gestione dei rifiuti, chimica, alimentare, fabbricazione di vari prodotti, fornitori di servizi digitali e ricerca.

Dentro questi settori decide la dimensione, secondo la definizione europea di PMI:

• grandi imprese (dai 250 dipendenti, oppure con fatturato oltre 50 milioni e bilancio oltre 43): soggetti essenziali nei settori altamente critici, importanti negli altri;
• medie imprese (dai 50 dipendenti, oppure con fatturato e bilancio entrambi oltre 10 milioni): di norma soggetti importanti;
• piccole e micro imprese: fuori, salvo eccezioni.

Le eccezioni rientrano qualunque sia la dimensione: fornitori di reti e servizi di comunicazione elettronica al pubblico, prestatori di servizi fiduciari, gestori di domini di primo livello, fornitori di servizi DNS e di registrazione di domini. Rientrano anche le pubbliche amministrazioni elencate dal decreto, e l’ACN può inserire singole organizzazioni che ritiene critiche.

Due dettagli che contano nel calcolo. Per i gruppi di imprese i numeri si sommano con quelli delle collegate, quindi una piccola società controllata da un gruppo grande può risultare media o grande. Esiste una clausola di salvaguardia (DPCM 221/2024) che in certi casi permette di non sommarli, ma va chiesta e motivata.

Il modo più sicuro per saperlo è l’autovalutazione proposta dall’ACN, con le FAQ settore per settore.

Cosa devono fare le aziende che rientrano

I soggetti NIS hanno una serie di obblighi con scadenze precise:

• registrarsi sulla piattaforma ACN, e aggiornare la registrazione dal 1° gennaio al 28 febbraio di ogni anno;
• aggiornare le informazioni entro il 31 maggio di ogni anno;
• notificare al CSIRT Italia gli incidenti significativi, obbligo attivo da gennaio 2026;
• adottare le misure di sicurezza di base fissate dall’ACN entro ottobre 2026: un elenco per i soggetti importanti e uno, più lungo, per gli essenziali.

C’è poi un punto che riguarda la direzione: gli organi di amministrazione approvano le misure, ne seguono l’attuazione e rispondono delle violazioni. Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale per gli essenziali, e fino a 7 milioni o all’1,4% per gli importanti.

Perché la richiesta arriva anche ai fornitori

Tra le misure che il decreto chiede ai soggetti NIS c’è la sicurezza della catena di approvvigionamento: i rapporti con i fornitori diretti e i prestatori di servizi vanno valutati e gestiti come un rischio.

Dal 2026 la cosa è diventata concreta. Con l’aggiornamento annuale, i soggetti NIS comunicano all’ACN anche l’elenco dei fornitori rilevanti (determinazione ACN 314287/2026, che ha sostituito la 127437 del 13 aprile 2026). In quell’elenco finiscono, per esempio, chi fornisce servizi cloud e data center, chi gestisce in outsourcing sistemi o sicurezza, e in generale chi fornisce qualcosa la cui interruzione bloccherebbe i servizi del cliente.

Per questo il gestionale del distributore, l’agenzia che amministra il sito e-commerce, lo studio che gestisce le paghe, il tecnico che ha l’accesso remoto ai server ricevono domande che prima nessuno faceva. Non perché la NIS2 si applichi a loro, ma perché il cliente deve dimostrare di sapere chi sono e quanto sono sicuri.

Cosa ti chiederà un cliente NIS2, in pratica

I questionari cambiano da azienda ad azienda, ma le domande ricorrono. Conviene avere le risposte pronte, e soprattutto avere davvero le cose che descrivono.

1. Chi ha accesso ai nostri sistemi, e come?

Elenco delle persone e degli account che entrano nei sistemi del cliente, con autenticazione a due fattori. Niente account condivisi, niente credenziali scambiate per email. Quando una persona lascia il progetto, l’accesso si chiude lo stesso giorno.

2. Dove stanno i nostri dati?

Quali servizi cloud usi, in quale area geografica, con quali sotto-fornitori. Il cliente deve mappare la propria catena, e tu sei un pezzo della sua.

3. Fate backup, e li avete mai ripristinati?

Un backup mai provato è una speranza. Conviene sapere ogni quanto si fa, dove viene conservato, quanto tempo serve per ripartire, e quando è stata fatta l’ultima prova di ripristino.

4. Come aggiornate sistemi e software?

Una regola scritta su chi applica gli aggiornamenti di sicurezza e con che tempi: sistemi operativi, CMS, plugin, librerie. È la domanda dove i siti WordPress lasciati soli fanno più fatica. Ne parliamo in WordPress mission-critical.

5. Se avete un incidente, quando ce lo dite?

Il cliente NIS deve mandare un preallarme al CSIRT entro 24 ore da quando viene a conoscenza di un incidente significativo, e una notifica entro 72 ore. Se l’incidente parte da te, i suoi tempi dipendono dai tuoi. Serve un contatto reperibile e un impegno scritto sui tempi di comunicazione.

6. Chi è il vostro referente per la sicurezza?

Anche in una piccola azienda serve un nome: qualcuno che risponde alle domande, tiene aggiornata la documentazione e coordina quando succede qualcosa.

Da dove partire, se sei un fornitore PMI

Non serve una certificazione per rispondere bene a un questionario. Serve sapere cosa si ha e dimostrarlo.

• Fai l’inventario di cosa fornisci a ogni cliente: servizi, accessi, dati che passano da te.
• Chiudi le cose semplici: autenticazione a due fattori ovunque, account personali e non condivisi, backup con prova di ripristino, aggiornamenti con una regola.
• Scrivi due pagine, non cento: chi è il referente, come gestite accessi, backup e aggiornamenti, cosa succede in caso di incidente e in quanto tempo avvisate.
• Controlla i tuoi fornitori: hosting, cloud, software. Il cliente ti chiederà anche di loro.
• Leggi bene le clausole che arrivano nei contratti, con il tuo legale: impegni su tempi di notifica, audit e sotto-fornitori vanno sostenuti nel tempo, non solo firmati.

Molte di queste cose sono buona manutenzione prima che conformità. Chi le ha già in ordine risponde al questionario in un pomeriggio; chi non le ha scopre di avere un problema di sicurezza, non solo un problema di carte.

Domande frequenti

Fonti: Agenzia per la cybersicurezza nazionale, pagine Ambito, Modalità e specifiche di base e FAQ NIS; D.Lgs. 4 settembre 2024, n. 138. Verifica all’11 novembre 2026.

Ti è arrivato un questionario NIS2 da un cliente? Possiamo aiutarti a rispondere sulla parte tecnica e a sistemare quello che manca: accessi, backup, aggiornamenti, procedure. Guarda come lavoriamo nei nostri progetti.