NIS2 e PMI: cosa cambia per fornitori e supply chain

La telefonata arriva così: il tuo cliente più importante — un gruppo strutturato per cui produci da anni — ti manda un questionario di sicurezza informatica di dieci pagine e chiede risposte entro trenta giorni. Non è burocrazia a caso: è la NIS2 che scende lungo la catena di fornitura. E anche se la tua azienda non è soggetta direttamente alla direttiva, gli obblighi ti stanno arrivando comunque, per contratto.

In breve:

• La NIS2 (direttiva UE 2022/2555, in Italia D.Lgs 138/2024, gestita dall’ACN) si applica direttamente ai soggetti medio-grandi di settori critici, non alle piccole PMI.
• Ma le aziende soggette devono gestire il rischio dei propri fornitori: per questo girano i requisiti di sicurezza a cascata sulla supply chain, anche a fornitori piccoli.
• In pratica, molte PMI ricevono questionari di conformità dai clienti strutturati tra il 2025 e il 2026.
• Il rischio per chi non risponde non è una sanzione ACN diretta, ma la perdita del cliente: chi non soddisfa i requisiti può essere escluso dalla fornitura.
• La buona notizia: gran parte delle richieste si copre con misure di base (backup 3-2-1, antivirus gestito, firewall, controllo accessi) che una PMI dovrebbe già avere — spesso serve solo metterle in ordine e documentarle.

Nota per il territorio: nella nostra esperienza sul Biellese, sono soprattutto le PMI manifatturiere e tessili a ricevere per prime questi questionari, perché fornitrici di gruppi strutturati soggetti alla direttiva.

L’obbligo a cascata NIS2 sui fornitori, in una frase

La NIS2 non impone obblighi diretti alle piccole imprese, ma impone alle aziende soggette (medio-grandi di settori critici) di gestire il rischio della propria catena di fornitura. Di conseguenza, un fornitore PMI di un’azienda soggetta è tenuto — per contratto, non per legge diretta — a dimostrare misure minime di sicurezza (backup, antivirus gestito, controllo accessi, aggiornamenti, gestione incidenti) quando il cliente le richiede. È questo il meccanismo dell‘“obbligo a cascata”.

Cos’è la NIS2 e perché riguarda anche chi non è “soggetto”

La NIS2 è la direttiva europea che alza il livello minimo di cybersecurity per le organizzazioni considerate critiche o importanti: energia, trasporti, sanità, produzione di beni essenziali, servizi digitali e altri. In Italia è recepita dal D.Lgs 138/2024 ed è vigilata dall’Agenzia per la Cybersicurezza Nazionale (ACN).

Se gestisci una piccola impresa manifatturiera nel Biellese, con ogni probabilità non sei un soggetto obbligato direttamente: la direttiva punta ad aziende medio-grandi. Il punto che sfugge a molti titolari è un altro. Tra gli obblighi dei soggetti NIS2 c’è la gestione del rischio della catena di fornitura. Significa che il tuo cliente strutturato deve verificare che anche i suoi fornitori — cioè tu — non siano un punto di ingresso per un attacco.

È così che l’obbligo ti raggiunge: non tramite l’ACN, ma tramite il contratto con il tuo cliente.

Cosa ti chiederanno davvero i clienti

Le richieste variano, ma il nocciolo è quasi sempre lo stesso. Ecco cosa vediamo arrivare più spesso ai fornitori biellesi:

Richiesta tipica	Cosa significa in pratica
Backup e ripristino	Copie regolari, testate, con almeno una copia offsite (logica 3-2-1)
Antivirus / endpoint gestito	Protezione centralizzata su tutte le postazioni, con licenze attive e aggiornate
Gestione degli accessi	Password robuste, account nominali, MFA dove possibile
Aggiornamenti	Sistemi operativi e firmware aggiornati, senza versioni fuori supporto in produzione
Firewall e segmentazione rete	Perimetro protetto, rete gestita
Referente e piano incidenti	Un contatto e una procedura minima in caso di attacco
Notifica incidenti	Clausola per avvisare il cliente entro tempi definiti

Spesso il questionario chiede anche una policy scritta: non deve essere un trattato, ma un documento che dice chi fa cosa. È proprio la parte che manca a molte PMI tecnicamente a posto ma che non hanno mai formalizzato nulla.

Perché il rischio è concreto (e vicino)

Non è teoria. Secondo i rapporti dell’ACN sulle minacce cibernetiche, le campagne ransomware colpiscono in modo sistematico realtà sul territorio nazionale, comprese aziende medio-piccole. Un fornitore compromesso è la porta d’ingresso ideale per arrivare al cliente più grande: è esattamente lo scenario che la NIS2 vuole chiudere.

Per una PMI questo si traduce in due rischi. Il primo è operativo: un ransomware che ferma la produzione per giorni. Il secondo è commerciale: se non rispondi ai requisiti, il cliente strutturato può passarti indietro nel ranking dei fornitori o escluderti del tutto.

Da dove partire, senza spendere a caso

Qui vale la pena essere onesti: non serve comprare tutto subito. La maggior parte delle richieste si copre con l’igiene di base della cybersecurity, che una PMI seria dovrebbe già avere. Il lavoro vero è spesso mettere ordine e documentare, non investire in tecnologia esotica.

Un percorso pragmatico in quattro passi:

1. Fotografa lo stato attuale. Cosa hai già? Backup che funziona davvero? Antivirus gestito o licenze scadute? Sistemi ancora su versioni fuori supporto? Il nostro punto di partenza è sempre questo, come spieghiamo nel kit minimo di cybersecurity per PMI.
2. Metti al sicuro i dati. Il backup è il pilastro: se anche subisci un attacco, ripartire in poche ore invece che in settimane fa la differenza. La logica corretta è quella spiegata nella nostra guida alla strategia di backup 3-2-1.
3. Sistema la rete. Firewall aggiornato, rete gestita, accessi controllati. Molte richieste NIS2 sui fornitori riguardano proprio il perimetro: è l’area che copriamo con i servizi di server e rete aziendale.
4. Scrivi due pagine di policy. Chi gestisce gli accessi, come si fa il backup, chi chiamare in caso di incidente. Basta questo per rispondere alla maggior parte dei questionari.

Quando NON ti serve strafare

Se sei un artigiano con due postazioni e nessun cliente soggetto a NIS2, non ha senso rincorrere certificazioni costose. Il principio è la proporzionalità: adegui le misure al rischio reale e a ciò che i tuoi clienti effettivamente chiedono. Prima di firmare contratti per firewall di fascia enterprise o audit esterni, verifica cosa ti serve davvero rispondere. Spesso è molto meno di quanto ti spaventa il questionario.

Dove invece conviene muoversi in anticipo è se lavori con gruppi strutturati: nella nostra esperienza con un gruppo tessile biellese che gestiamo (circa 100 macchine e una rete articolata su più sedi), le aziende di questa taglia stanno già inoltrando requisiti di sicurezza verso monte e verso valle. Se sei un loro fornitore, la richiesta arriverà — meglio farsi trovare pronti.

Il passo successivo

Ricapitolando: se rifornisci un’azienda soggetta alla NIS2, gli obblighi di sicurezza ti arrivano per contratto anche senza essere tu un soggetto obbligato; la maggior parte dei requisiti si copre con l’igiene di base già in ordine e documentata; il rischio più concreto per una PMI è commerciale, cioè perdere il cliente.

Hai ricevuto un questionario di sicurezza da un cliente e non sai da dove iniziare? Prenota un sopralluogo gratuito: un tecnico ILTEC viene in azienda, verifica cosa hai già in ordine, cosa manca rispetto alle richieste tipiche NIS2 sui fornitori e ti propone un piano di adeguamento proporzionato. Senza vendere più del necessario — e da un referente unico che conosce il territorio.