NIS2 e fornitori: la mia azienda non è obbligata direttamente, ma può essere comunque coinvolta?

Molte piccole e medie imprese, dopo aver verificato di non rientrare direttamente tra i soggetti obbligati dalla NIS2, tirano un sospiro di sollievo e archiviano il tema. È una reazione comprensibile, ma rischia di essere miope: la normativa, infatti, sta già iniziando a produrre effetti anche su aziende non direttamente obbligate, attraverso un meccanismo meno visibile ma altrettanto concreto, quello della filiera.

Perché i clienti soggetti alla NIS2 iniziano a chiedere requisiti ai fornitori

La NIS2 impone esplicitamente ai soggetti essenziali e importanti di gestire il rischio informatico anche lungo la propria catena di fornitura, non solo all’interno del proprio perimetro aziendale. In pratica, un’azienda soggetta alla NIS2 non può considerarsi in regola limitandosi a mettere in sicurezza i propri sistemi interni: deve anche verificare che i fornitori a cui affida dati, accessi, servizi o componenti critici non rappresentino un punto debole della catena.

Questo significa che, se la tua azienda fornisce servizi, software, componenti o supporto a un cliente che è un soggetto essenziale o importante ai sensi della NIS2, è molto probabile che quel cliente stia iniziando (o inizierà presto) a porti domande specifiche sulla tua postura di sicurezza informatica, indipendentemente dal fatto che tu sia o meno direttamente obbligato dalla normativa.

Il meccanismo “a cascata”: dall’obbligo normativo all’obbligo contrattuale

È il meccanismo che rende la NIS2 rilevante ben oltre il perimetro dei soggetti formalmente obbligati. Un’azienda che deve rispondere all’autorità competente della gestione del rischio lungo la propria filiera ha due strade per farlo: verificare autonomamente e in modo approfondito ogni fornitore (costoso e complesso), oppure trasferire contrattualmente ai fornitori l’obbligo di rispettare determinati requisiti minimi di sicurezza, chiedendo evidenze, questionari, certificazioni o clausole contrattuali specifiche.

Nella pratica, si sta affermando sempre più spesso la seconda strada. Il risultato è che l’obbligo normativo di un’azienda soggetta alla NIS2 si “traduce” in un requisito contrattuale per i suoi fornitori, anche quando questi ultimi, presi singolarmente, non avrebbero alcun obbligo diretto di legge. È lo stesso principio già visto per il GDPR con i contratti di responsabile del trattamento: chi è soggetto alla normativa tende a scaricare, in forma contrattuale, parte degli adempimenti sulla propria catena di fornitura.

Esempi pratici di richieste che un cliente può fare a un fornitore PMI

Le richieste concrete che un’azienda essenziale o importante può iniziare a rivolgere ai propri fornitori variano in base al tipo di rapporto e al livello di accesso ai sistemi, ma tendono a includere elementi come:

• questionari di autovalutazione sulla sicurezza informatica (policy adottate, gestione degli accessi, backup, aggiornamento dei sistemi);
• richiesta di evidenze documentali su misure minime adottate (ad esempio autenticazione a più fattori, cifratura dei dati, piani di continuità operativa);
• clausole contrattuali specifiche che impongono obblighi di notifica in caso di incidente che coinvolga anche indirettamente i dati o i sistemi del cliente;
• in alcuni casi, richiesta di certificazioni di sicurezza informatica riconosciute, o comunque di un audit di terze parti;
• limitazioni o condizioni particolari sull’accesso ai sistemi del cliente, subordinate al rispetto di requisiti minimi di sicurezza da parte del fornitore.

Va precisato che i requisiti concreti richiesti da ciascun cliente dipendono dalla sua valutazione del rischio specifico e dal tipo di rapporto contrattuale: non esiste un elenco standard uguale per tutti i settori, ma una tendenza di fondo che sta già emergendo in molti mercati B2B.

Come attrezzarsi anche senza un obbligo diretto

Aspettare di ricevere una richiesta formale da un cliente, per poi correre ai ripari, è una strategia rischiosa: spesso i tempi contrattuali per rispondere a un questionario di sicurezza o per adeguare le proprie misure sono stretti, e una risposta improvvisata rischia di compromettere la trattativa. Conviene invece muoversi in anticipo, seguendo alcuni passaggi essenziali:

• fare una prima mappatura delle misure di sicurezza informatica già in essere in azienda, anche in modo informale;
• individuare le lacune più evidenti rispetto a un livello minimo ragionevole (gestione degli accessi, backup verificati, aggiornamento dei sistemi, formazione del personale);
• predisporre una documentazione sintetica, ma chiara, delle misure adottate, così da poter rispondere rapidamente a un eventuale questionario di un cliente;
• valutare un percorso di adeguamento graduale, proporzionato alle proprie dimensioni, che non deve necessariamente replicare gli obblighi completi dei soggetti direttamente vincolati dalla NIS2, ma che deve comunque dimostrare un livello di maturità adeguato.

Il vantaggio competitivo di presentarsi “già pronti”

C’è un modo di guardare a questo tema che va oltre la semplice difesa da un rischio: la sicurezza informatica documentata sta diventando, in molte filiere, un criterio di selezione dei fornitori al pari del prezzo o della qualità del servizio. Un’azienda che si presenta a una gara o a una negoziazione già in grado di rispondere con sicurezza e rapidità a domande sulla propria postura di sicurezza informatica trasmette affidabilità, riduce i tempi di negoziazione e si differenzia da concorrenti impreparati su questo fronte. In un contesto in cui sempre più aziende grandi e medio-grandi iniziano a fare domande di questo tipo, arrivare preparati non è solo prudenza: è un vantaggio commerciale concreto.

Preparati prima che sia il tuo cliente a chiedertelo

Non serve aspettare una richiesta formale per iniziare a capire dove si trova la tua azienda rispetto a un livello minimo di sicurezza informatica accettabile per i tuoi clienti più esigenti. Richiedi il check-up gratuito NIS2 di Defendia su defendia.pro/nis2 e ottieni un quadro chiaro della tua situazione, anche se non sei un soggetto direttamente obbligato dalla normativa.

Domande frequenti

Un cliente può chiedermi contrattualmente di adeguarmi alla NIS2 anche se non sono obbligato per legge?

Sì. Anche se la tua azienda non rientra tra i soggetti direttamente obbligati dalla normativa, un cliente che invece lo è può legittimamente inserire nei propri contratti clausole che richiedono il rispetto di determinati requisiti minimi di sicurezza informatica, proprio perché lui stesso è tenuto a gestire il rischio lungo tutta la propria catena di fornitura. Si tratta di un obbligo di natura contrattuale, non normativa diretta, ma con effetti pratici molto simili per il fornitore che vuole mantenere quel rapporto commerciale.

Come dimostro a un cliente che la mia azienda è sicura?

Il modo più efficace è disporre di una documentazione chiara e verificabile delle misure di sicurezza adottate: politiche interne, evidenze di backup testati, gestione degli accessi, formazione del personale, ed eventualmente una valutazione di sicurezza svolta da un soggetto esterno indipendente. Avere questi elementi già pronti, invece di doverli raccogliere in fretta quando un cliente li richiede, permette di rispondere con tempestività e di trasmettere un’immagine di affidabilità, elemento sempre più valutato nella selezione dei fornitori.