Checklist NIS2 per PMI italiane: 30 domande al tuo fornitore

Sei tu soggetto NIS2 (importante o essenziale) o ti consideri solo mio sub-fornitore? Dammelo per iscritto.

Perché: Se il tuo fornitore è dentro il perimetro NIS2, cambiano gli obblighi che può girarti a cascata e le sue responsabilità verso di te.

Il contratto cita esplicitamente NIS2 o il D.Lgs. 138/2024, oppure parla solo di «misure standard di settore»?

Perché: Una clausola generica di reasonable efforts è giuridicamente più debole e lascia la responsabilità sul soggetto obbligato, cioè su di te.

Quale livello di criticità mi attribuisci come tua controparte e quali obblighi ne fai discendere?

Perché: La NIS2 chiede di graduare le misure di sicurezza in base alla criticità del rapporto: serve sapere come ti classifica.

Chi nella tua azienda è il referente formale per la cybersicurezza e la conformità NIS2?

Perché: La direttiva responsabilizza i vertici: avere un referente tracciato evita che le richieste finiscano nel vuoto durante un incidente.

Sei registrato presso l'ACN e nel ruolo che dichiari verso i tuoi clienti?

Perché: La registrazione ACN profila il livello di rischio del fornitore e ne segnala l'effettiva consapevolezza degli obblighi NIS2.

Mi dai per iscritto l'elenco dei sub-fornitori che trattano i miei dati o configurano sistemi miei?

Perché: La NIS2 ti chiede di valutare la postura dei fornitori critici: senza la lista dei sub-fornitori non puoi censire la tua vera catena.

Mi notifichi in anticipo l'ingresso di un nuovo sub-fornitore critico o il cambio di quelli esistenti?

Perché: Un cambio non comunicato a monte modifica la tua supply chain senza che tu possa rivalutarne il rischio.

Dove sono fisicamente ospitati i miei dati e a quale giurisdizione rispondono i datacenter?

Perché: Sapere la localizzazione e la legge applicabile è richiesto per gestire richieste di autorità extra-UE e profilo di rischio.

Quale policy applichi se un'autorità extra-UE ti chiede accesso ai miei dati?

Perché: Una richiesta extra-UE può esporre i tuoi dati: serve sapere in anticipo come reagisce il fornitore, non scoprirlo dopo.

Accetti una clausola di audit estesa ai tuoi sub-fornitori critici o garanzie equivalenti su di loro?

Perché: Il rischio di terza parte si propaga: senza visibilità sui sub-fornitori, la valutazione della catena resta incompleta.

Riesamini almeno annualmente la sicurezza dei tuoi fornitori e me ne dai evidenza?

Perché: La NIS2 prevede un riesame periodico della catena di fornitura, almeno annuale: chiedi che ti venga documentato.

In quante ore mi notifichi un incidente di sicurezza confermato e con quale canale formale?

Perché: I tuoi timer NIS2 partono dalla scoperta: senza notifica rapida del fornitore non rispetti l'early warning entro 24 ore.

Ti impegni per iscritto a una notifica entro 12 ore così ho margine per le mie 24?

Perché: Avere il dato del fornitore prima delle tue scadenze è l'unico modo per arrivare in tempo all'early warning verso l'ACN.

Esiste una procedura scritta che scatta alla scoperta dell'incidente, non alla sua risoluzione?

Perché: I timer NIS2 partono dalla scoperta: se la procedura attende la risoluzione, il termine è già violato in partenza.

Cosa includi nella notifica iniziale: impatto, dati coinvolti, sistemi e azioni intraprese?

Perché: Una notifica generica non ti permette di valutare l'impatto né di compilare la tua relazione strutturata entro 72 ore.

Mi fornisci il supporto e la documentazione per la mia relazione finale entro un mese?

Perché: La NIS2 prevede una relazione finale entro un mese: senza i dati del fornitore non riesci a chiuderla in modo coerente.

Tieni un registro degli incidenti consultabile e me ne dai estratto su richiesta?

Perché: Un registro tracciato è ciò che distingue un controllo ACN gestibile da uno doloroso.

Mi concedi un diritto di audit o accetti certificazioni equivalenti come ISO 27001 o SOC 2 Type II?

Perché: Senza diritto di audit o certificazione verificabile non puoi documentare la postura del fornitore in caso di verifica ACN.

La copia della certificazione che citi è recente e realmente disponibile, non solo dichiarata?

Perché: Una certificazione scaduta o irreperibile non costituisce evidenza utilizzabile davanti all'autorità di vigilanza.

Mi fornisci documentazione aggiornata sulle misure tecniche e organizzative che applichi ai miei sistemi?

Perché: L'ACN può chiedere senza preavviso prove delle misure: ti serve una cartella ordinata e coerente con la realtà.

Tracci e documenti la formazione del tuo personale che opera sui miei sistemi?

Perché: L'igiene informatica e la formazione del personale sono misure minime NIS2 di cui può essere richiesta evidenza.

Mi dai evidenza di come verifichi periodicamente l'efficacia delle misure adottate?

Perché: La valutazione dell'efficacia delle misure è un'area obbligatoria: dichiararle non basta, vanno testate e documentate.

Con quale frequenza esegui i backup dei miei dati e per quanto tempo li conservi?

Perché: Backup e continuità operativa sono misure minime NIS2: senza dati certi su frequenza e retention non puoi valutare il rischio.

Hai un piano di ripristino collaudato e mi dai i tempi di recupero (RTO) e il punto di ripristino (RPO)?

Perché: Un piano testato trasforma un disastro in disservizio; tempi solo dichiarati e mai provati non danno garanzie reali.

Quando hai testato l'ultima volta il ripristino completo e me ne dai esito?

Perché: Un backup mai ripristinato è un'illusione di sicurezza: la prova di restauro è l'unica evidenza che funziona davvero.

I backup sono isolati e protetti contro cancellazione o cifratura da ransomware?

Perché: Backup raggiungibili da un attaccante vanificano la continuità operativa proprio quando ne hai più bisogno.

Imponi l'autenticazione a più fattori sugli accessi ai miei sistemi e ai pannelli di gestione?

Perché: L'autenticazione a più fattori è esplicitamente tra le misure minime NIS2 e blocca la quota maggiore di accessi non autorizzati.

I miei dati sono cifrati a riposo e in transito, e con quali standard?

Perché: La crittografia è un'area obbligatoria NIS2: serve sapere se copre dati a riposo e in transito, non solo a parole.

Come gestisci il controllo degli accessi e il principio del privilegio minimo sul mio ambiente?

Perché: Controllo degli accessi e gestione degli asset sono misure minime: accessi non profilati ampliano la superficie d'attacco.

Hai EDR e gestione delle patch su tutti i sistemi che toccano i miei dati, con tempi di applicazione definiti?

Perché: L'igiene informatica di base include patch tempestive: ritardi nelle correzioni lasciano falle note sfruttabili.