NIS2 per le PMI italiane: cosa il tuo fornitore non ti dice davvero

Quando un fornitore ti dice «per la NIS2 ci pensiamo noi», di solito sta facendo una di tre cose: ti vende una rassicurazione che non può mantenere; ti scarica in contratto un rischio che resta tuo; oppure — più raramente — ha davvero capito la direttiva e si è organizzato. Distinguere i tre casi non è un esercizio accademico: è la differenza tra una contestazione formale sulla tua azienda e un’estate tranquilla.

Questo articolo è per chi gestisce l’IT in una PMI italiana, ha letto cinque whitepaper, ascoltato due webinar e si è ritrovato con meno chiarezza di prima. Niente terrorismo, niente checklist generiche: sei punti concreti, con i riferimenti normativi che contano e cosa farne in pratica. La buona notizia, anticipata subito: nessuno di questi problemi richiede un budget da multinazionale. Richiede ordine, qualche clausola scritta bene e un partner che ragioni alla tua scala.

1. Sei dentro più facilmente di quanto pensi

Il D.Lgs. 138/2024 — il recepimento italiano della NIS2 — ha allargato la platea ben oltre le grandi imprese. Se operi in uno dei settori degli allegati alla direttiva e superi le soglie dimensionali (in linea di massima 50 dipendenti oppure 10 milioni di euro di fatturato), con ogni probabilità rientri tra i soggetti importanti — ma la qualificazione esatta va verificata sul tuo caso specifico. Le aziende più grandi, nei settori più critici, tendono a ricadere tra i soggetti essenziali, con un regime più severo.

Le PMI vengono coinvolte sostanzialmente in tre modi:

1. Settori critici diretti: energia, sanità, trasporti, gestione rifiuti, telecomunicazioni.
2. Servizi digitali: fornitori cloud, datacenter, marketplace, motori di ricerca. Anche per loro la regola dimensionale (almeno 50 dipendenti o 10 milioni di fatturato) di norma si applica, ma la NIS2 prevede eccezioni mirate in cui la soglia non vale: meglio verificare la propria posizione caso per caso, perché alcune categorie possono ricadere comunque dentro.
3. Catena di fornitura: se il tuo cliente è un soggetto essenziale (una banca, un ospedale, una multiutility), può girarti gli obblighi a cascata via contratto. Quella clausola di security assessment firmata con leggerezza l’anno scorso, al prossimo rinnovo rischia di diventare un audit annuale.

È il terzo punto a sorprendere più aziende: non sei “in NIS2” perché lo decidi tu, ma perché un cliente importante può importelo per non rischiare in proprio.

2. La scadenza burocratica non è la scadenza tecnica

Il decreto è in vigore dall’autunno 2024. La registrazione presso l’ACN (Agenzia per la Cybersicurezza Nazionale) segue finestre temporali definite e serve, tra l’altro, a profilare il tuo livello di rischio. Ma l’errore strategico è considerare l’adempimento amministrativo come la vera deadline:

• Registrazione ACN: è un atto formale, ma genera il tuo profilo e ti mette nel radar.
• Misure tecniche e organizzative: la loro applicabilità non aspetta la burocrazia. Una falla oggi è già un problema oggi.
• Notifica degli incidenti: la NIS2 prevede un early warning entro 24 ore, una notifica più strutturata entro 72 ore e una relazione finale entro un mese.

Dettaglio che molti ignorano: quei timer, di norma, partono dalla scoperta dell’incidente, non dalla sua risoluzione. Se il tuo fornitore di sicurezza gestito non ha già una procedura scritta per il timer delle 24 ore, quel timer rischia di scattare mentre ancora cercate di capire cosa è successo.

3. Le clausole «SaaS standard» non coprono la NIS2 (e i fornitori lo sanno)

Apri il contratto del tuo principale fornitore cloud o SaaS e cerca: NIS2, direttiva 2022/2555, D.Lgs. 138/2024. La probabilità che siano citati esplicitamente è bassa. La probabilità che il testo parli genericamente di industry-standard security measures o reasonable efforts è invece molto alta.

Non è un dettaglio linguistico. Una clausola di reasonable efforts tende a essere giuridicamente più debole di un obbligo di risultato: in una contestazione, «ho fatto del mio meglio» difficilmente sposta la responsabilità dal soggetto obbligato — cioè da te.

Tre cose da portare al tavolo al prossimo rinnovo, verificando con legale e acquisti quanto sono negoziabili nel tuo contratto, senza per forza riscrivere tutto:

• Notifica degli incidenti con tempi certi, idealmente entro 12 ore verso di te, così hai margine per rispettare le tue 24 ore.
• Diritto di audit o, in alternativa, l’accettazione di certificazioni equivalenti (ISO 27001, SOC 2 Type II, ENS) con copia recente effettivamente disponibile. Su come inserire questa clausola senza rallentare le trattative, abbiamo dedicato una guida all’audit ai fornitori da introdurre al rinnovo.
• Chiarezza su dove stanno i dati e a quale giurisdizione rispondono: dove sono ospitati, sotto quale legge, e quale policy si applica in caso di richiesta da un’autorità extra-UE. Qui vale la pena distinguere il marketing dalla sostanza, perché non tutto ciò che viene venduto come cloud sovrano lo è davvero.

Qui la dimensione del fornitore conta. Con un grande vendor globale queste clausole sono spesso “prendere o lasciare”. Con un system integrator italiano alla tua scala, di solito c’è più margine di negoziazione — ed è uno dei motivi per cui un partner vicino può valere più di uno grande.

4. La responsabilità del vertice è la novità che cambia le carte

La NIS2 introduce un principio che con la vecchia normativa non c’era con questa forza: la responsabilità diretta degli organi di amministrazione. Tradotto: l’amministratore difficilmente può ancora cavarsela con «non sono un tecnico, mi fido dell’IT».

In concreto significa:

• Formazione documentata per chi governa l’azienda, non un webinar generico archiviato e dimenticato.
• Approvazione formale, e tracciata, delle misure di gestione del rischio cyber.
• In caso di violazioni gravi, possibili conseguenze anche per chi ha responsabilità di vertice.

Non a caso diversi assicuratori stanno aggiornando le polizze per amministratori e dirigenti proprio su questo fronte, con premi in tendenziale aumento. Per una PMI la lettura giusta non è “un costo in più”, ma il segnale che la governance cyber è uscita dal seminterrato IT ed è arrivata in sala riunioni.

5. Le misure minime sono più di processo che di prodotto

Il decreto elenca un insieme di aree obbligatorie di gestione del rischio. La maggior parte riguarda processi e organizzazione, non scatole da comprare. In sintesi:

1. Analisi del rischio e politiche di sicurezza dei sistemi informativi
2. Gestione degli incidenti
3. Continuità operativa, backup e gestione delle crisi
4. Sicurezza della catena di fornitura
5. Sicurezza nell’acquisizione, sviluppo e manutenzione dei sistemi
6. Procedure per valutare l’efficacia delle misure adottate
7. Igiene informatica di base e formazione del personale
8. Crittografia
9. Sicurezza del personale, controllo degli accessi e gestione degli asset
10. Autenticazione a più fattori e comunicazioni sicure

Se la tua roadmap NIS2 si riassume in «firewall di nuova generazione, EDR e SIEM», hai coperto la parte tecnologica e poco altro: restano scoperti analisi del rischio, gestione degli incidenti, continuità operativa, supply chain, ciclo di vita dei sistemi e verifica dell’efficacia. È un lavoro di metodo, e spesso costa più tempo che denaro.

Due voci di questo elenco meritano un occhio di riguardo per una PMI: la continuità operativa (punto 3) e la supply chain (punto 4). La prima, perché un piano di backup e ripristino davvero collaudato è spesso il modo più economico di trasformare un disastro in un disservizio — e attenzione, perché il backup dei SaaS non esiste finché non lo configuri tu. La seconda, perché è spesso il vero costo nascosto della NIS2 — e ne parliamo subito.

6. Il costo nascosto è la catena di fornitura

La sicurezza della supply chain è l’iceberg sotto la linea di galleggiamento. La NIS2 ti chiede di valutare la postura dei tuoi fornitori critici, non solo la tua. Significa:

• Censire chi tratta i tuoi dati o eroga servizi essenziali per la tua operatività.
• Assegnare a ciascuno un livello di criticità.
• Inserire clausole contrattuali coerenti con quel livello.
• Riesaminare il tutto periodicamente, almeno una volta l’anno.

Non è un progetto puramente IT: tocca il legale, gli acquisti, l’IT e chi è responsabile dei processi di business. Per una PMI con qualche decina di fornitori IT principali è di solito un impegno reale nel primo anno, molto più leggero a regime, una volta costruito il registro e standardizzate le clausole. La buona notizia: tendenzialmente lo fai una volta bene e poi lo manutieni, non lo rifai da capo ogni anno. In questa logica conviene anche valutare quanto sei legato a un singolo provider: scrivere fin da subito un piano d’uscita dal cloud riduce proprio quel rischio di concentrazione che la supply chain ti chiede di gestire.

7. L’ACN può chiederti documenti, anche senza preavviso

L’Agenzia per la Cybersicurezza Nazionale ha poteri di vigilanza. Può richiedere documentazione sulle misure tecniche e organizzative, disporre verifiche, imporre misure correttive e — nei casi più gravi — applicare sanzioni che la direttiva parametra al fatturato, con tetti più alti per i soggetti essenziali rispetto agli importanti. L’applicazione concreta dipende comunque da autorità, gravità, dimensione e circostanze del caso.

Tradotto in pratica: la differenza tra un controllo gestibile e uno doloroso è spesso se esiste, oggi, una cartella ordinata con le tue policy firmate, il registro degli incidenti, i contratti aggiornati e le tracce della formazione. Non serve che sia perfetta. Serve che esista e che sia coerente con quello che fai davvero.

Cosa fare lunedì mattina

Non comprare un altro prodotto. Apri il registro dei fornitori, individua i tre più critici per impatto sulla tua continuità e sui tuoi dati, e dedica un’ora — con il legale o con chi ti segue l’IT — a leggere insieme la sezione Security dei loro contratti. Cerca le parole che mancano e i tempi che non ci sono.

È da lì che si capisce chi, quando dice «ci pensiamo noi», lo sta scrivendo nero su bianco e chi sta solo rassicurando. Tutto il resto viene dopo. Te lo dico io.