Fornitori rilevanti NIS2: chi sono e cosa chiede ACN

Per la NIS2 un fornitore è rilevante quando la sua fornitura ha potenziali impatti sulla sicurezza dei sistemi informativi e di rete: se venisse compromessa, potrebbe incidere su disponibilità, autenticità, integrità o riservatezza dei tuoi dati e dei tuoi servizi. Su questi fornitori un soggetto NIS tiene un inventario, valuta il rischio, inserisce requisiti di sicurezza nei contratti e ne verifica il rispetto (art. 24 del D.Lgs. 138/2024, misure ACN GV.SC).

Qui trovi come si individuano, cosa chiedono le misure ACN, da quando valgono nei contratti e cosa cambia se il fornitore sei tu. Il processo completo, NIS2 e DORA insieme, è nella guida al TPRM, third party risk management.

Da dove nasce l'obbligo

La direttiva (UE) 2022/2555 mette la sicurezza della catena di approvvigionamento tra gli elementi minimi delle misure di gestione dei rischi (art. 21, par. 2, lett. d) e chiede di tenere conto delle vulnerabilità di ogni diretto fornitore e delle sue pratiche di cibersicurezza, comprese le procedure di sviluppo sicuro (par. 3). L'articolo 22 aggiunge le valutazioni coordinate dei rischi su specifiche catene di approvvigionamento critiche di servizi, sistemi e prodotti TIC, che il gruppo di cooperazione NIS può condurre con la Commissione e l'ENISA.

In Italia lo stesso impianto sta nell'articolo 24 del D.Lgs. 138/2024. Il comma 2, lettera d), indica la sicurezza della catena di approvvigionamento, ivi compresi gli aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi. Il comma 3 riprende i criteri della direttiva, valutazioni coordinate comprese. Il quadro generale del decreto è in cosa prevede il D.Lgs. 138/2024, e il resto degli obblighi nella guida completa alla NIS2.

La legge dice cosa fare, non su quali fornitori. Il perimetro lo fissano le misure di sicurezza di base della determinazione ACN 379907/2025 (allegato 1 per i soggetti importanti, allegato 2 per gli essenziali), che si applica dal 15 gennaio 2026.

Cosa intende ACN per fornitore rilevante

Nelle misure di base l'espressione fornitori rilevanti non è una categoria definita. Il titolo della misura GV.SC-05 parla di fornitori e altre terze parti rilevanti, ma il criterio operativo è un altro: le forniture con potenziali impatti sulla sicurezza dei sistemi informativi e di rete. La FAQ ACN MSB.8 e la Guida alla lettura delle specifiche di base le definiscono come le forniture la cui eventuale compromissione può determinare effetti sulla capacità dei sistemi informativi e di rete di resistere, con un determinato livello di affidabilità, agli eventi che potrebbero compromettere la disponibilità, l'autenticità, l'integrità o la riservatezza dei dati conservati, trasmessi o elaborati o dei servizi offerti da tali sistemi informativi e di rete o accessibili attraverso di essi.

Due conseguenze pratiche.

• Non tutte le forniture. La FAQ MSB.15 lo dice in modo esplicito: i requisiti di sicurezza non vanno definiti per tutte le forniture. Secondo l'Appendice B della Guida alla lettura la clausola compare in tre requisiti, uguali per importanti ed essenziali: GV.SC-01 punto 1, GV.SC-04 punto 1 e GV.SC-05 punto 1.
• Non coincide con i sistemi rilevanti. La misura GV.OC-04 chiede un elenco dei sistemi informativi e di rete rilevanti, cioè quelli la cui compromissione avrebbe un impatto significativo sulle attività e sui servizi per cui sei soggetto NIS. La clausola sulle forniture non rimanda a quell'elenco, e la Guida tratta le due clausole come ambiti distinti. Un manutentore che entra da remoto su un PC d'ufficio può non toccare nessun sistema rilevante, ma apre comunque una strada verso la rete.

Una prova pratica: cinque domande

Per decidere se una fornitura entra nell'inventario conviene partire dai criteri che la misura GV.SC-07 usa per valutarne il rischio:

1. Il fornitore ha un accesso ai tuoi sistemi informativi e di rete (account, VPN, teleassistenza, software installato)?
2. Accede ai tuoi dati o alla tua proprietà intellettuale, e quanto sono critici?
3. Se la fornitura si interrompe in modo grave, cosa si ferma da te?
4. Quanto tempo e quanto costa ripristinare il servizio se non è disponibile?
5. Ha un ruolo nel governo dei tuoi sistemi, cioè li amministra, li configura o li aggiorna?

La regola che usiamo con i clienti: basta un sì per mettere il fornitore in inventario, e il numero di sì ne decide la priorità.

Esempi tipici

• Quasi sempre dentro: provider cloud e SaaS (la misura ID.AM-04 nomina in modo esplicito i servizi cloud), fornitori di servizi gestiti e di sicurezza gestiti, la software house del gestionale, il manutentore di macchine e impianti con teleassistenza, il fornitore di apparati di rete, i consulenti con un account sui tuoi sistemi.
• Di solito fuori, o con requisiti leggeri: forniture senza componente digitale. In una FAQ pensata per le amministrazioni (MSB.17) ACN cita pulizia e vigilanza senza videosorveglianza: i requisiti restano coerenti con l'oggetto della prestazione e il rischio concreto.

Le misure ACN, fase per fase

La FAQ MSB.13 legge le misure GV.SC come un processo in quattro fasi: valutazione del rischio della fornitura, identificazione dei requisiti, inserimento nei documenti di gara e nei contratti, verifica. A monte c'è l'inventario.

Inventario dei fornitori (GV.SC-04 e ID.AM-04)

Il titolo della misura GV.SC-04 è I fornitori sono noti e prioritizzati in base alla criticità. Il requisito chiede un inventario aggiornato dei fornitori delle forniture con potenziali impatti sulla sicurezza, con almeno gli estremi di contatto del referente della fornitura e la tipologia di fornitura. La misura ID.AM-04 chiede anche l'inventario dei servizi informatici erogati dai fornitori, cloud compreso, e la GV.SC-02 che i ruoli di sicurezza eventualmente assegnati al personale delle terze parti siano definiti e resi noti all'interno.

1. Valutazione del rischio della fornitura (GV.SC-07, punto 1)

Il rischio di ogni fornitura si valuta e si documenta dentro la valutazione del rischio della misura ID.RA-05, con almeno i cinque criteri delle domande viste sopra. ACN non impone un modello (FAQ MSB.9).

2. Requisiti di sicurezza (GV.SC-01, punto 1)

La funzione di sicurezza informatica partecipa agli acquisti fin dall'identificazione e progettazione della fornitura, e i requisiti si definiscono in base alla valutazione del rischio, coerenti con le misure che applichi ai tuoi sistemi. Per i soggetti essenziali l'allegato 2 elenca 17 ambiti da considerare, ove applicabili: tra gli altri affidabilità del fornitore, conformità e audit, gestione delle vulnerabilità, continuità operativa, controllo accessi, monitoraggio degli eventi, gestione e segnalazione degli incidenti, sviluppo sicuro, dismissione della fornitura con restituzione e cancellazione dei dati, subappalto lungo la catena di fornitura.

3. Requisiti nei contratti (GV.SC-05)

I requisiti entrano nelle richieste di offerta, nei bandi, nei contratti, negli accordi e nelle convenzioni, salvo ragioni normative o tecniche motivate e documentate. Secondo la FAQ MSB.16 non serve inserirli tutti e non serve riportare il testo delle misure: basta che il contratto ne recepisca il contenuto sostanziale.

4. Verifica periodica (GV.SC-07, punto 2)

La conformità delle forniture ai requisiti si verifica periodicamente e si documenta: una valutazione fatta alla firma e mai riaperta non basta.

Da quando i requisiti valgono nei contratti

Una risposta che molti cercano sta nella FAQ MSB.12: non è obbligatorio adeguare i contratti di fornitura già in essere. I requisiti di sicurezza sono obbligatori, salvo ragioni motivate e documentate, per i contratti stipulati, rinnovati o prorogati a partire dal termine per l'adozione delle misure di sicurezza.

I termini sono due, secondo la Guida alla lettura:

• Soggetti inseriti in elenco nel 2025: diciotto mesi dalla ricezione della comunicazione di inserimento. ACN ha iniziato a inviare le comunicazioni dal 12 aprile 2025, quindi per chi l'ha ricevuta in quei giorni il termine è caduto a ottobre 2026.
• Soggetti inseriti per la prima volta nel 2026: 31 luglio 2027, come stabilito dalla Determinazione 127434/2026.

Nella pratica, dal termine in poi ogni rinnovo o proroga con un fornitore in inventario è il momento in cui i requisiti entrano: conviene incrociare l'inventario con le scadenze contrattuali.

Incidenti che passano dal fornitore

Le FAQ ACN chiariscono chi notifica al CSIRT Italia. Se l'incidente significativo colpisce i sistemi del cliente soggetto NIS, anche quando il servizio è erogato da un fornitore soggetto NIS (un SOC, un servizio gestito), notifica il cliente (FAQ ISB.F.1). Se colpisce i sistemi del fornitore soggetto NIS, notifica il fornitore, e anche il cliente se l'incidente è significativo pure per i suoi servizi (FAQ ISB.F.2). Per il cloud vale una regola a parte, che trovi in NIS2 e cloud.

Nelle FAQ ISB.F.1 e ISB.F.3 ACN aggiunge che, nei requisiti della fornitura (GV.SC-01), il cliente deve assicurarsi che il fornitore gli segnali tempestivamente gli eventi di sicurezza con impatto sui suoi servizi. È la clausola che decide se riesci a rispettare le 24 ore della pre-notifica: tempi e canali sono spiegati in notifica degli incidenti NIS2.

Se il fornitore sei tu

Essere fornitore di un soggetto NIS2 non ti porta da solo dentro il decreto. L'articolo 3 del D.Lgs. 138/2024 prevede due casi in cui può succedere a prescindere dalle dimensioni: il soggetto di uno dei settori o delle tipologie degli allegati I-IV individuato come critico quale elemento sistemico della catena di approvvigionamento, anche digitale, di uno o più soggetti essenziali o importanti (comma 9, lettera f), e l'impresa collegata a un soggetto NIS che, tra le altre ipotesi, gli fornisce servizi TIC o di sicurezza, anche gestiti (comma 10).

Fuori da questi casi, e se non rientri già nel decreto per conto tuo, gli obblighi arrivano per contratto (un fornitore di servizi cloud, gestiti o di sicurezza gestiti che supera i massimali della piccola impresa è soggetto NIS per settore e dimensioni: art. 3, comma 2, e allegato I): questionari ed evidenze, clausole sulla segnalazione degli eventi di sicurezza, diritti di audit, regole sul subappalto, restituzione e cancellazione dei dati a fine rapporto.

Chi riceve molte richieste ha interesse a preparare un pacchetto unico: accessi nominativi con autenticazione a più fattori, una procedura di segnalazione degli incidenti con contatti e tempi, l'elenco dei subfornitori, le evidenze già pronte. Una certificazione ISO/IEC 27001 con un campo di applicazione pertinente risponde a una parte delle domande, non a quelle specifiche del contratto.

Gli errori che vediamo più spesso

• La clausola generica. Una riga che chiede al fornitore di rispettare la NIS2 non dice cosa verificare. I requisiti devono essere coerenti con le misure che applichi tu.
• Riscrivere tutti i contratti insieme. La FAQ MSB.12 non lo chiede: si parte dai fornitori a rischio più alto e dai rinnovi più vicini.

Da dove partire

1. Estrai i fornitori da contabilità, contratti attivi, account esterni e accessi remoti, e incrocia le fonti.
2. Applica le cinque domande e costruisci l'inventario GV.SC-04 con referente e tipologia.
3. Documenta la valutazione del rischio delle forniture in inventario, partendo da quelle con più sì.
4. Scrivi requisiti modello per tipologia di fornitura (cloud, servizi gestiti, manutenzione remota, software).
5. Metti in calendario rinnovi e proroghe, e la verifica periodica dei fornitori critici.

Con le aziende del mid-market lavoriamo su entrambi i lati: per chi è in elenco, inventario, valutazione e requisiti dei fornitori dentro il piano di adeguamento; per chi riceve le richieste dei clienti, le evidenze con cui rispondere. Se vuoi capire da dove cominciare nel tuo caso, trovi come lavoriamo nella pagina sulla consulenza e adeguamento NIS2.

In sintesi: per la NIS2 i fornitori rilevanti sono quelli delle forniture con potenziali impatti sulla sicurezza dei sistemi informativi e di rete, non tutti i fornitori e non solo quelli dei sistemi rilevanti. Le misure ACN GV.SC chiedono inventario, valutazione del rischio, requisiti nei contratti e verifica periodica. Non è obbligatorio riscrivere i contratti in essere: i requisiti entrano in quelli stipulati, rinnovati o prorogati dal termine per le misure di sicurezza.