NIS2 e fornitori software: perché la compliance del tuo gestionale è diventata un problema tuo

La direttiva NIS2, recepita in Italia con il decreto legislativo 138/2024, rende le aziende soggette responsabili anche della sicurezza della propria catena di fornitura, software compreso. Le date sono già fissate dall’Agenzia per la Cybersicurezza Nazionale: obbligo di notifica degli incidenti operativo da gennaio 2026, misure di sicurezza di base da adottare entro ottobre 2026, registrazione annuale sulla piattaforma ACN dal 1° gennaio al 28 febbraio. Tradotto: se il tuo gestionale, il tuo MES o il tuo fornitore IT hanno una falla, il problema di conformità è anche tuo.

Perché ti riguarda

L’elenco dei soggetti NIS costruito dall’ACN conta oltre 20.000 organizzazioni, di cui più di 5.000 essenziali, sulla base delle informazioni raccolte da oltre 30.000 realtà. Ognuna di queste aziende deve dimostrare di governare i rischi dei propri fornitori critici. Il risultato pratico: anche chi è fuori dal perimetro riceverà questionari di sicurezza, richieste di clausole contrattuali e verifiche. E per chi è dentro, le sanzioni previste dal decreto legislativo 138/2024 arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali, fino a 7 milioni o all’1,4% per gli importanti.

Chi è coinvolto, oltre al perimetro formale?

Il perimetro NIS2 include settori come energia, trasporti, sanità, gestione rifiuti, manifattura di determinate categorie e servizi digitali, con soglie dimensionali che partono indicativamente dai 50 dipendenti o dai 10 milioni di euro di fatturato. Ma l’effetto pratico va oltre il perimetro formale: le aziende soggette stanno girando ai propri fornitori questionari di sicurezza e richieste contrattuali. Molte PMI scoprono la NIS2 non da un ispettore, ma da un cliente che chiede garanzie per iscritto.

Il meccanismo è lo stesso già visto con la fatturazione elettronica e con i requisiti di qualità nelle filiere industriali: l’obbligo formale colpisce i grandi, la pressione operativa scende a cascata sui piccoli. Chi vende componenti o servizi IT a un’azienda nel perimetro entra nel raggio della norma senza esserci dentro per legge.

Cosa dice davvero la norma sulla catena di fornitura?

Le misure di sicurezza di base definite dall’ACN con la determinazione 164179 del 14 aprile 2025 sono un pacchetto strutturato: 37 misure articolate in 87 requisiti per i soggetti importanti, 43 misure e 116 requisiti per gli essenziali. Tra le aree coperte c’è esplicitamente la sicurezza della catena di approvvigionamento: l’azienda soggetta deve valutare i rischi dei fornitori di servizi e sistemi informatici, inserire requisiti di sicurezza nei contratti e monitorarne il rispetto.

Non è un adempimento astratto. Significa che il cliente NIS2 deve poter rispondere a una domanda precisa: se il fornitore del gestionale subisce un attacco, cosa succede ai miei dati e alla mia operatività? Chi non sa rispondere ha un requisito scoperto.

Quali domande arriveranno (o dovresti fare)?

• Il fornitore del gestionale ha una gestione documentata delle vulnerabilità e degli aggiornamenti? Con quali tempi di rilascio delle patch critiche?
• Dove sono i dati, chi vi accede, con quale autenticazione?
• Esiste un piano di continuità testato: se il fornitore si ferma, l’azienda riparte in quanto tempo?
• I contratti prevedono obblighi di notifica in caso di incidente? Entro quante ore?
• A fine rapporto, i dati tornano indietro in un formato leggibile e documentato?

Le stesse domande valgono in fase di acquisto. Chi sta scegliendo un nuovo sistema farebbe bene a metterle nel capitolato accanto a funzioni e prezzo: i criteri di scelta di un gestionale oggi includono la postura di sicurezza del fornitore, non solo il canone.

Perché per i fornitori software è anche un’occasione?

Per i fornitori software italiani la NIS2 è anche un’occasione commerciale: chi arriva dal cliente con la documentazione pronta si distingue in un mercato dove la risposta media ai questionari di sicurezza è il silenzio imbarazzato. La conformità, presentata bene, è diventata un argomento di vendita.

Vale anche al contrario. Il fornitore che non risponde, che rimanda, che allega una brochure al posto di una procedura, sta comunicando qualcosa di preciso sulla propria organizzazione. Per il titolare che legge le risposte, il questionario NIS2 è un test di solidità del fornitore più affidabile di qualunque referenza commerciale.

Domande frequenti

La mia azienda non è nel perimetro NIS2: posso ignorare il tema? No, se lavori nella filiera di aziende soggette. I tuoi clienti nel perimetro hanno l’obbligo di governare i rischi dei fornitori: le richieste contrattuali arriveranno a prescindere dal tuo status formale. Conviene comunque verificare la propria posizione, come spieghiamo nella guida alla registrazione ACN.

Quali sono le scadenze del 2026? Notifica degli incidenti significativi operativa da gennaio 2026; misure di sicurezza di base da completare entro ottobre 2026; registrazione dei nuovi soggetti dal 1° gennaio al 28 febbraio e aggiornamento annuale dei dati tra il 15 aprile e il 31 maggio. Il calendario completo è sulla sezione NIS del sito ACN.

Il fornitore del software risponde al posto mio? No. La responsabilità di conformità resta dell’azienda soggetta. Il fornitore può fornire evidenze e garanzie contrattuali, ma davanti all’ACN risponde il cliente, con il coinvolgimento diretto degli organi di amministrazione.

Vai più a fondo

• Sezione NIS dell’ACN, normativa e piattaforma: acn.gov.it/portale/nis
• Decreto legislativo 138/2024 in Gazzetta Ufficiale: gazzettaufficiale.it
• La guida completa agli obblighi per le PMI: softwareb2b.it/nis2-pmi-obblighi-guida-pratica
• Le scadenze di registrazione sulla piattaforma ACN: softwareb2b.it/nis2-registrazione-acn-scadenze

Seguiremo su questa testata l’attuazione italiana della direttiva e i suoi effetti concreti sul mercato del software B2B: obblighi, scadenze e casi dal campo.