La direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, si applica direttamente soprattutto alle medie e grandi imprese dei settori critici. Molte PMI marchigiane e abruzzesi pensano quindi di esserne fuori. In parte è vero, ma c'è un effetto a catena: chi è soggetto alla NIS2 deve gestire anche i rischi della propria catena di fornitura. E per farlo si rivolge ai fornitori.
Perché il committente ti chiede la sicurezza
Tra le misure che un soggetto NIS2 deve adottare c'è la sicurezza della supply chain: valutare i fornitori, inserire requisiti nei contratti, verificare che vengano rispettati. Se un fornitore viene compromesso — un terzista con accesso al gestionale del cliente, uno studio che riceve i suoi dati, un manutentore collegato in remoto agli impianti — l'attacco può arrivare fino al committente.
Per questo, nei prossimi mesi, molte PMI riceveranno questionari di sicurezza, nuove clausole contrattuali e richieste di evidenze.
Le richieste più frequenti
- Autenticazione a più fattori (MFA) sugli accessi remoti, sulla posta e sui sistemi che contengono dati del cliente.
- Backup regolari, con almeno una copia separata e non modificabile, e prove di ripristino.
- Protezione degli endpoint: antivirus evoluto o EDR su PC e server, gestito e aggiornato.
- Aggiornamenti dei sistemi e gestione delle vulnerabilità.
- Formazione del personale su phishing e uso sicuro degli strumenti.
- Notifica degli incidenti al cliente entro tempi definiti, se l'incidente può coinvolgerlo.
- Un referente per la sicurezza e, a volte, la disponibilità a un audit.
Come prepararsi senza stravolgere l'azienda
1. Fai il punto della situazione
Prima di rispondere a un questionario serve sapere cosa c'è: quali sistemi, quali accessi, quali backup, chi li controlla. Un assessment iniziale mette in fila le lacune e le priorità.
2. Parti dalle misure che riducono di più il rischio
MFA, backup immutabili verificati, protezione degli endpoint e aggiornamenti coprono la gran parte degli attacchi reali alle PMI, e sono anche le prime domande dei questionari.
3. Documenta
Per un committente conta poter dimostrare. Report periodici, registro dei backup e dei test di ripristino, elenco delle macchine protette, attestati di formazione: sono le evidenze da allegare.
4. Rendilo continuo
La sicurezza non è un adempimento una tantum: i questionari si ripetono e le minacce cambiano. Un servizio gestito mantiene le misure attive e le evidenze aggiornate.
In sintesi
Anche se la tua azienda non è un soggetto NIS2, è probabile che lo siano i tuoi clienti più importanti. Arrivare preparati a quelle richieste diventa un vantaggio commerciale: dimostra affidabilità e ti mette davanti ai concorrenti che non hanno ancora cominciato.