La porta di servizio che nessuno sorveglia
Hai presente quei film in cui il ladro non sfonda la porta blindata, ma entra dal garage lasciato aperto dal vicino?
La metafora funziona perfettamente per capire cosa sta succedendo nella gestione dei fornitori. Le tue misure di sicurezza interne possono essere impeccabili, firewall aggiornati, policy validate, sistemi informativi e di rete NIS2-ready , ma se il fornitore che gestisce il tuo CRM, il tuo cloud o i tuoi log di sistema non è adeguatamente presidiato, la porta di servizio è spalancata.
Fino a poco tempo fa, aziende e consulenti tenevano tendenzialmente separati due binari: da un lato il GDPR con i suoi accordi di responsabile del trattamento (DPA, art. 28), dall'altro la NIS2 con le sue misure di sicurezza informatica.
Oggi quella separazione non regge più le due discipline, lette congiuntamente, portano a una gestione integrata del rischio fornitore.
Due normative, un unico problema: la sicurezza della supply chain
Il punto di convergenza tra NIS2 e GDPR
La disciplina europea spinge verso una gestione unitaria del rischio lungo la supply chain digitale.
La compliance NIS2 e GDPR convergono su tre assi:
- selezione;
- controllo;
- monitoraggio;
dei fornitori.
La valutazione dell’impatto e delle dipendenze operative diventa il criterio per individuare le forniture critiche e graduare obblighi, verifiche e clausole contrattuali.
Tradotto in concreto: non puoi più avere un ufficio legale che gestisce i DPA e un ufficio IT che valuta i fornitori tecnologici come se fossero due mondi distinti. Il fornitore è uno solo. Il rischio è uno solo. La governance deve essere una sola.
Cosa cambia con la Determinazione ACN 127437/2026
Con la Determinazione del Direttore Generale dell'Agenzia per la Cybersicurezza Nazionale, dello scorso13 aprile 2026, l'ACN ha introdotto un obbligo esplicito e operativo: le organizzazioni soggette al decreto NIS (D.Lgs. 138/2024) devono identificare e dichiarare i propri fornitori rilevanti NIS all'interno della piattaforma digitale ACN NIS2 (il Portale ACN finalizzato a gestire gli adempimenti NIS2).
La Determinazione definisce con precisione cosa si intende per "fornitore rilevante NIS". Un soggetto rientra in questa categoria se soddisfa almeno uno di due criteri.
Il primo è la fornitura ICT: la fornitura è riconducibile alle attività di cui all'allegato I, punti 8 e 9, del decreto NIS.
Il secondo è la fornitura non fungibile: l'interruzione o la compromissione della fornitura comporta un impatto significativo sulla capacità del soggetto NIS di erogare i propri le attività o i servizi per i quali rientra nell’ambito di applicazione del decreto NIS, anche per effetto dell'indisponibilità di fornitori alternativi.
Questa distinzione non è tecnicismo burocratico. È la base concettuale del risk assessment NIS2 applicato alla catena di approvvigionamento.
Gli adempimenti NIS2 2026 sulla piattaforma digitale ACN
Cosa va dichiarato sulla piattaforma digitale ACN
L'art. 18 della Determinazione ACN specifica nel dettaglio le informazioni che ogni soggetto NIS deve trasmettere per ciascun fornitore rilevante tramite il "Servizio NIS/Aggiornamento annuale informazioni":
- Denominazione e codice fiscale del fornitore.
- Paese in cui ha la sede legale.
- Codici CPV (Common Procurement Vocabulary) relativi alle forniture erogate.
- Criterio di rilevanza applicato (fornitura ICT o fornitura non fungibile).
La trasmissione va confermata formalmente dal punto di contatto del soggetto NIS ed è soggetta a verifiche di coerenza da parte dell'ACN. Le dichiarazioni mendaci comportano responsabilità penale ai sensi dell'art. 76 del DPR 445/2000.
La scadenza parallela: categorizzazione attività e servizi NIS2
La Determinazione introduce per il 2026 anche il primo avvio del processo di elencazione e categorizzazione delle attività e dei servizi NIS2, attivo dal 1° maggio al 30 giugno 2026 tramite il "Servizio NIS/Categorizzazione".
Ogni soggetto NIS deve elaborare un elenco categorizzato delle proprie attività e servizi, attribuendo le categorie di rilevanza NIS2 stabilite dal modello di categorizzazione ACN. Questo processo, che include la valutazione dell'impatto dei servizi NIS2 su scala minimo/basso/medio/alto, non è accessorio rispetto alla gestione dei fornitori: è il presupposto logico per identificare quali dipendenze dalla supply chain siano davvero critiche.
E il GDPR? Non si fa da parte
Il DPA come primo strato contrattuale
Il GDPR è già lì da anni con l'art. 28: prima di affidare trattamenti di dati personali a un fornitore, devi stipulare un accordo scritto (DPA) che disciplini istruzioni, misure di sicurezza, gestione dei sub-responsabili, diritti di audit e procedure di notifica in caso di violazione.
Nel caso di fornitori che siano anche responsabili del trattamento, le clausole contrattuali devono coordinarsi tra i due regimi normativi. Un fornitore cloud che tratta dati personali per tuo conto e gestisce sistemi informativi e di rete NIS2-critici è allo stesso tempo un responsabile del trattamento GDPR e un potenziale fornitore rilevante NIS2. Lo stesso contratto deve rispondere a entrambi i requisiti.
Il caso del doppio cappello
Un esempio chiarisce meglio di qualsiasi definizione come i due regimi normativi si sovrappongano nella realtà operativa.
Considera un’azienda sanitaria soggetta al decreto NIS che si affida a un provider esterno per la gestione dei referti digitali. Se il provider tratta dati sanitari per conto dell’azienda, può assumere il ruolo di responsabile del trattamento ai sensi del GDPR. Se, inoltre, il servizio erogato è riconducibile a una fornitura ICT e la sua interruzione o compromissione incide in modo significativo sulla continuità del servizio referti, anche per assenza di alternative realisticamente disponibili, lo stesso provider può essere qualificato anche come fornitore rilevante NIS, eventualmente come fornitore ICT non fungibile.
Se il DPA non contiene clausole di sicurezza allineate alla NIS2, SLA cyber, gestione degli incidenti, incident reporting NIS2, possibilità di audit, l'azienda è esposta su entrambi i fronti normativi. La lacuna non è del fornitore: è della governance aziendale che non ha presidiato il contratto in modo integrato.
Il framework integrato: dalla teoria alla pratica
Le macro-aree NIS2 da presidiare nella supply chain
Un approccio strutturato di NIS2 compliance sulla gestione dei fornitori deve coprire almeno quattro macro-aree NIS2.
Valutazione e selezione
La Business Impact Analysis NIS2 va applicata prima della firma del contratto. Identifica se il fornitore candidato rientra nei criteri di rilevanza (ICT o non fungibile). Verifica la disponibilità di fornitori alternativi: l'indisponibilità di alternative è esplicitamente citata dalla Determinazione ACN come fattore di criticità nella valutazione impatto servizi NIS2.
Contrattualizzazione integrata
Per i fornitori rilevanti NIS2 che siano anche responsabili del trattamento GDPR, il contratto deve includere: clausole DPA art. 28, SLA di sicurezza informatica, obblighi di incident reporting NIS2 con tempistiche definite, diritti di audit, disciplina dei sub-fornitori.
Monitoraggio e controllo NIS2
L'elenco dei fornitori rilevanti non è un adempimento una-tantum. La Determinazione ACN prevede un aggiornamento continuo delle informazioni: qualsiasi modifica rilevante va comunicata entro 14 giorni dalla variazione tramite il "Servizio NIS/Aggiornamento continuo informazioni". Questo implica un presidio continuativo, non solo annuale.
Gestione degli incidenti e continuità operativa NIS2
Il contratto deve disciplinare cosa succede quando il fornitore subisce un attacco o un'interruzione di servizio. Chi notifica? In che tempi? Come si attiva il piano di continuità operativa NIS2? Queste domande devono avere risposta scritta prima che accada qualcosa.
Una checklist di partenza per l'onboarding dei fornitori
Quando avvii un nuovo rapporto con un fornitore o rinnovi un contratto esistente, queste sono le domande minime da porre internamente, coinvolgendo IT, legale e compliance su un'unica scheda fornitore:
Il fornitore tratta dati personali per conto dell'organizzazione?
DPA GDPR obbligatorio, con clausole su misure tecniche e organizzative, sub-responsabili, notifica delle violazioni.
La fornitura rientra nelle attività ICT di cui all'allegato I, punti 8 e 9 del decreto NIS?
Valutazione criterio di rilevanza ICT; possibile obbligo di dichiarazione nella piattaforma digitale ACN NIS2.
L'interruzione della fornitura impatta significativamente sui servizi critici?
Valutazione criterio di non fungibilità; se positivo, il fornitore va inserito nell'elenco fornitori rilevanti NIS2 da trasmettere ad ACN entro il 31 maggio.
Esistono fornitori alternativi disponibili?
L'assenza di alternative aumenta il livello di criticità nella valutazione impatto servizi NIS2.
Il contratto prevede SLA di incident reporting NIS2 e attivazione della continuità operativa NIS2?
Verificare e integrare prima del rinnovo.
La posta in gioco: anche per chi non è soggetto NIS direttamente
Il fattore competitivo della sicurezza supply chain NIS2
C'è un aspetto che le organizzazioni spesso sottovalutano: anche le aziende non direttamente soggette alla NIS2, ma che forniscono prodotti o servizi a soggetti essenziali o importanti, si troveranno a dover dimostrare standard adeguati di sicurezza per mantenere i rapporti commerciali. Essere un fornitore rilevante NIS2 di un cliente soggetto alla direttiva significa essere valutati e potenzialmente sostituiti se non si dimostra NIS2 compliance.
La sicurezza supply chain NIS2 diventa quindi un fattore competitivo concreto: chi può dimostrare conformità a standard rigorosi, gestione strutturata degli incidenti e presidio delle clausole contrattuali ha un vantaggio rispetto a chi non può farlo.
Conclusione: la governance è una, e il momento è adesso
La gestione dei fornitori non è più un problema del procurement, del legale o dell'IT presi separatamente. È una questione di governance aziendale integrata che parte dalla Business Impact Analysis NIS2, passa per la categorizzazione delle attività e dei servizi, arriva alla contrattualizzazione e si mantiene viva con il monitoraggio e controllo NIS2 continuativo.
La porta di servizio lasciata aperta dal vicino è il tuo fornitore. E ora che NIS2 e GDPR la indicano entrambi, non puoi più fare finta di non averla vista.
Struttura la governance dei fornitori adesso — non quando arriva il primo audit, e non quando scade la prossima finestra sulla piattaforma digitale ACN NIS2.
Vuoi trasformare la compliance in una competenza organizzativa concreta?
I percorsi e-learning di Preparatissimo aiutano la tua organizzazione a costruire competenze reali.
Avv. Andrea Battistella
Avvocato Cassazionista e consulente in digital compliance. Mi occupo di diritto e innovazione con focus su trasformazione digitale, Intelligenza Artificiale, e-commerce e protezione dei dati personali (GDPR), unendo analisi giuridica e impatto operativo.
Avv. Andrea Battistella
Avvocato Cassazionista e consulente in digital compliance. Mi occupo di diritto e innovazione con focus su trasformazione digitale, Intelligenza Artificiale, e-commerce e protezione dei dati personali (GDPR), unendo analisi giuridica e impatto operativo.
NIS2 e GDPR sono chiari: verifica i tuoi fornitori prima che diventino il punto debole della tua sicurezza.