Il 31 ottobre 2026 è il termine entro cui le organizzazioni inserite nell'elenco NIS nel 2025 devono avere operative le misure di sicurezza di base definite dall'Agenzia per la Cybersicurezza Nazionale. Da quel momento ACN può avviare le attività di verifica.
Se la tua azienda non rientra nel perimetro NIS, è facile pensare che la scadenza non ti riguardi. Tra le misure di base, però, c'è la sicurezza della catena di approvvigionamento: i tuoi clienti soggetti NIS devono valutare il rischio legato ai propri fornitori e dimostrare di averlo fatto. Lo strumento con cui lo fanno è il contratto, accompagnato da questionari e richieste di evidenze.
In pratica, nei prossimi mesi molte PMI riceveranno domande precise sulla propria sicurezza informatica, spesso con tempi di risposta stretti. Questo articolo spiega cosa cambia per un fornitore, quali richieste ricorrono più spesso e quali evidenze puoi produrre partendo dagli strumenti che probabilmente usi già, a cominciare da Microsoft 365.
Perché il 31 ottobre riguarda anche chi non è in elenco NIS
Il D.Lgs. 138/2024, che recepisce in Italia la direttiva NIS2, richiede ai soggetti essenziali e importanti di adottare misure di gestione del rischio che includano la sicurezza della catena di approvvigionamento, compresi i rapporti con i fornitori diretti e i fornitori di servizi. La Determinazione ACN 379907/2025 traduce questo obbligo in misure concrete: 37 misure e 87 requisiti per i soggetti importanti, 43 misure e 116 requisiti per i soggetti essenziali.
Essere fornitore di un soggetto NIS non ti rende automaticamente un soggetto NIS. L'obbligo resta in capo al cliente, che lo trasferisce a te per via contrattuale. Questo ha due conseguenze pratiche: non hai obblighi diretti verso ACN, ma hai obblighi verso il cliente. E se non rispondi in modo convincente, la tua fornitura rischia di essere classificata come ad alto rischio, con richieste aggiuntive o una revisione del contratto.
Attenzione ai fornitori di servizi IT
Le aziende che offrono servizi gestiti ICT ad altre imprese possono rientrare direttamente nel perimetro NIS2 se superano le soglie dimensionali. In quel caso non sei solo un fornitore: sei un soggetto NIS. Se hai dubbi, la guida NIS2 in 7 step aiuta a capire se la tua azienda è coinvolta.
Il fornitore rilevante: chi riceverà le richieste più approfondite
Le determinazioni ACN hanno introdotto il concetto di fornitore rilevante: un fornitore che costituisce un elemento sistemico della catena di approvvigionamento di uno o più soggetti NIS. Rientrano tipicamente in questa categoria i fornitori di servizi cloud, chi gestisce infrastrutture IT, chi sviluppa software critico, gli outsourcer tecnologici e chi si occupa della manutenzione dei sistemi.
La regola pratica è semplice: se accedi ai sistemi del cliente, ne gestisci i dati o eroghi un servizio da cui dipende la sua operatività, aspettati un questionario dettagliato e richieste di evidenze documentali.
Un approccio basato sul rischio, non uguale per tutti
Le FAQ ACN sulla sicurezza della catena di approvvigionamento, aggiornate a luglio 2026, chiariscono che la gestione dei fornitori segue un modello basato sul rischio. Non tutti i fornitori riceveranno le stesse domande: chi fornisce materiale di consumo e chi amministra il tenant Microsoft 365 del cliente avranno livelli di verifica molto diversi.
Le 10 richieste più frequenti nei questionari di sicurezza fornitori
I questionari variano da cliente a cliente, ma le aree coperte sono ricorrenti. La tabella riassume le domande che incontrerai più spesso, l'evidenza che il cliente si aspetta e dove si trova nella maggior parte delle aziende che usano Microsoft 365.
| # | Area | Domanda tipica | Evidenza da preparare | Dove si trova |
|---|---|---|---|---|
| 1 | Autenticazione | Usate l'autenticazione a più fattori per tutti gli accessi? | Policy di accesso condizionale e report di registrazione MFA | Microsoft Entra ID |
| 2 | Account privilegiati | Come gestite gli account amministrativi? | Elenco ruoli admin, account separati, account di emergenza documentati | Entra ID, Active Directory |
| 3 | Dispositivi | I dispositivi aziendali sono gestiti e aggiornati? | Report di conformità e stato degli aggiornamenti | Microsoft Intune |
| 4 | Protezione endpoint | Avete una soluzione EDR attiva? | Copertura dei dispositivi e gestione degli avvisi | Microsoft Defender |
| 5 | Cifratura | I dati sui portatili sono cifrati? | Report BitLocker e custodia delle chiavi di ripristino | Intune, Entra ID |
| 6 | Backup | Fate backup e testate il ripristino? | Policy di backup, report dei job, verbale dell'ultimo test di restore | Soluzione di backup dedicata |
| 7 | Log | Conservate i log di accesso e delle attività? | Audit log attivo e periodo di conservazione | Microsoft Purview, Entra ID |
| 8 | Vulnerabilità | Eseguite vulnerability assessment periodici? | Report dell'ultimo assessment e piano di rimedio | Assessment esterno, Defender |
| 9 | Incidenti | Entro quanto ci notificate un incidente? | Procedura con referenti, canali e tempi di notifica | Documento interno |
| 10 | Formazione | Il personale è formato sulla sicurezza? | Registro della formazione ed esiti delle simulazioni di phishing | Piattaforma formativa |
A queste si aggiunge spesso una domanda specifica per chi lavora sui sistemi del cliente: con quali strumenti accedete da remoto e come tracciate le sessioni? Un accesso tramite software di controllo remoto non concordato è uno dei punti che un cliente NIS tende a non accettare. Ne abbiamo parlato nell'articolo sui rischi degli RMM non autorizzati.
Sai già quali di queste evidenze puoi produrre oggi?
Con il Microsoft 365 Security Assessment verifichiamo configurazione di identità, dispositivi, log e backup del tuo tenant e ti consegniamo un report con lo stato di ciascun controllo e le priorità di intervento.
Richiedi il Security AssessmentCome dimostrarlo con Microsoft 365: le evidenze area per area
Il punto non è dichiarare di avere un controllo, ma poterlo dimostrare con un report, una configurazione esportata o un documento datato. Molte di queste evidenze sono già disponibili nei portali di amministrazione Microsoft, a patto che i controlli siano configurati.
Identità e accessi
È l'area su cui i clienti insistono di più, perché la compromissione delle credenziali resta il punto di ingresso più comune. Le evidenze utili sono le policy di accesso condizionale in Entra ID che impongono l'MFA, il report di registrazione dei metodi di autenticazione e l'elenco aggiornato degli utenti con ruoli amministrativi. Gli account di emergenza esclusi dalle policy vanno documentati, con il motivo dell'esclusione e le modalità di controllo.
Nelle infrastrutture ibride non basta guardare il cloud: Active Directory on-premises resta spesso la fonte delle identità, e un dominio con troppi amministratori o configurazioni deboli vanifica i controlli di Entra ID. Un assessment e hardening di Active Directory fornisce un'evidenza documentata dello stato del dominio. Per la protezione delle credenziali privilegiate, vedi anche le soluzioni di Identity Security.
Dispositivi, aggiornamenti e cifratura
Con Microsoft Intune puoi produrre in pochi minuti il report di conformità dei dispositivi: sistema operativo aggiornato, BitLocker attivo, antivirus funzionante. Se Intune non è ancora in uso, la domanda del cliente è un buon motivo per partire: trovi una spiegazione completa nella guida su cos'è Microsoft Intune e quando è incluso nelle licenze.
Se non riesci a rispondere con certezza a domande come "quanti PC sono cifrati?", probabilmente sei in una delle situazioni descritte nell'articolo sui segnali di PC aziendali fuori controllo.
Backup e ripristino
È la risposta in cui si sbaglia più spesso. Microsoft 365 garantisce la disponibilità del servizio, ma non sostituisce un backup indipendente con cui ripristinare dati cancellati, sovrascritti o cifrati da un ransomware. Al cliente servono tre cose: la policy di backup, i report dei job e soprattutto il verbale di un test di ripristino recente. Un backup mai testato non è un'evidenza. Se vuoi affidare la gestione a un servizio esterno, vedi la Data Protection as a Service.
Log e monitoraggio
Il cliente vuole sapere se, in caso di incidente, sarai in grado di ricostruire cosa è successo. Verifica che l'audit log di Microsoft Purview sia attivo e annota il periodo di conservazione previsto dalla tua licenza, così come quello dei log di accesso di Entra ID. Se i log non vengono analizzati da nessuno, valuta un servizio di monitoraggio continuo come il SOC as a Service.
Vulnerabilità
Alla domanda sulle verifiche periodiche la risposta più solida è un report di vulnerability assessment recente, accompagnato dal piano di rimedio e dallo stato delle correzioni. Se non hai mai svolto un assessment, l'articolo Vulnerability Assessment: cos'è, come funziona e cosa rileva spiega cosa aspettarti. Per una verifica sulla tua infrastruttura, vedi il servizio di vulnerability assessment per aziende.
Incidenti e persone
Due evidenze spesso trascurate: una procedura scritta di gestione degli incidenti, con referenti e tempi di notifica al cliente, e la prova che il personale è formato. Per la prima, puoi partire dal nostro protocollo di emergenza ransomware. Per la seconda, una campagna di phishing simulation produce un risultato misurabile da allegare al questionario.
Gli errori che fanno perdere credibilità al fornitore
Rispondere "sì" senza evidenze
Il cliente deve dimostrare ad ACN di aver valutato i fornitori: una risposta non documentata non gli serve.
Usare formule generiche
"Adottiamo le best practice di settore" non risponde a nessuna domanda specifica.
Confondere cloud e backup
Dire che i dati "sono su Microsoft" non risponde alla domanda sul ripristino.
Accedere ai sistemi del cliente con strumenti non concordati
Ogni accesso remoto deve essere autorizzato, tracciato e revocabile.
Non avere un referente per la sicurezza
Il cliente ha bisogno di un nome e di un contatto da chiamare in caso di incidente.
Da dove partire: un piano in tre tempi
Nella prossima settimana
- Raccogli i questionari e le clausole contrattuali già ricevuti e nomina un referente interno per le risposte.
- Esporta le evidenze già disponibili: policy MFA, elenco amministratori, report Intune, report di backup.
Entro un mese
- Confronta le tue risposte con le 10 aree della tabella e individua i controlli mancanti.
- Esegui un vulnerability assessment e scrivi la procedura di gestione degli incidenti.
- Documenta la valutazione dei rischi con il template gratuito per l'analisi del rischio informatico.
Nei prossimi sei mesi
- Interventi strutturali su identità e Active Directory, monitoraggio continuo dei log, formazione periodica del personale.
- Per chi deve guidare il progetto internamente, il corso NIS2 copre requisiti, governance e implementazione.
Hai ricevuto un questionario di sicurezza da un cliente NIS2?
Lo analizziamo insieme, individuiamo le evidenze che hai già e quelle da costruire, e definiamo le priorità. Siamo a Bussolengo (VR) e lavoriamo con aziende di Verona e di tutta Italia.
Parla con uno specialistaDomande frequenti sui fornitori NIS2
Se sono fornitore di un'azienda NIS2 devo registrarmi sulla piattaforma ACN?
No, essere fornitore di un soggetto NIS non comporta di per sé l'obbligo di registrazione. Gli obblighi ti arrivano dal cliente attraverso il contratto. Verifica però se la tua azienda rientra direttamente nel perimetro per settore e dimensioni: è il caso, ad esempio, di alcuni fornitori di servizi ICT gestiti.
Esiste una certificazione NIS2 per i fornitori?
Non esiste una certificazione ufficiale di conformità NIS2. Certificazioni come la ISO/IEC 27001 sono evidenze utili e molti clienti le apprezzano, ma non sono obbligatorie: ciò che conta è dimostrare con documenti e report i controlli richiesti.
Cosa succede se non rispondo al questionario di sicurezza del cliente?
Il cliente deve comunque gestire il rischio legato alla tua fornitura. Può chiederti misure aggiuntive, rivedere le condizioni contrattuali o, nei casi più critici, valutare fornitori alternativi.
Microsoft 365 basta per essere in regola con le richieste dei clienti NIS2?
No. Microsoft 365 offre strumenti utili per autenticazione, gestione dei dispositivi, log e protezione, ma la configurazione, il backup indipendente, le procedure e la formazione restano a carico dell'azienda.
Quali evidenze conviene preparare per prime?
Le policy di autenticazione a più fattori, l'elenco degli account amministrativi, la policy di backup con un test di ripristino recente e la procedura di gestione degli incidenti. Sono le aree richieste in quasi tutti i questionari.
Ogni quanto vanno aggiornate le evidenze?
Almeno una volta l'anno e ogni volta che cambia in modo significativo l'infrastruttura. Molti contratti con clienti NIS prevedono una revisione periodica delle misure del fornitore.
