Il cliente ti manda il questionario NIS2: cosa ti chiede e come rispondere

Se ti è arrivato un modulo intitolato «valutazione di sicurezza del fornitore», «questionario NIS2» o qualcosa di simile, non è un caso che sia arrivato adesso. Le aziende inserite nell'elenco dei soggetti NIS nel 2025 hanno diciotto mesi dalla comunicazione di inserimento per adottare le misure di sicurezza di base, e per la gran parte di loro il termine cade nell'ottobre 2026 [7]. Fra quelle misure c'è la sicurezza della catena di approvvigionamento [2][3]: per rispettarla devono guardare chi le fornisce. Cioè te.

Se ancora non sai se la NIS2 riguarda direttamente la tua azienda, parti dall'articolo su chi rientra e chi no. Questo è per il caso più frequente fra le piccole imprese: tu sei fuori, il tuo cliente è dentro.

Cosa sei, e cosa non sei

Le domande frequenti dell'Agenzia per la cybersicurezza nazionale lo dicono senza giri di parole: le organizzazioni che fanno parte della catena di approvvigionamento di un soggetto NIS devono rispettare degli obblighi contrattuali, senza essere soggette alla vigilanza dell'Agenzia [1]. Non devi registrarti, non devi notificare nulla all'Agenzia, nessuno ti ispeziona per conto della legge.

Il rovescio è che quello che firmi diventa un tuo obbligo, verso il cliente. Un questionario compilato e allegato al contratto non è un sondaggio: è una dichiarazione. Se scrivi di avere l'autenticazione a due fattori su tutti gli account e poi un incidente dimostra il contrario, il problema non è con l'Agenzia, è con il cliente, ed è scritto.

Perché il cliente te lo chiede

Le misure di base fissate dall'Agenzia dedicano una categoria intera alla catena di approvvigionamento. Chiedono al soggetto obbligato di tenere un inventario aggiornato dei fornitori che possono avere un impatto sui suoi sistemi, di inserire i requisiti di sicurezza nei contratti e di valutare il rischio di ciascuna fornitura tenendo conto, fra l'altro, dell'accesso che il fornitore ha ai sistemi e ai dati, dei tempi di ripristino se la fornitura si interrompe e del ruolo che il fornitore ha nella gestione dei sistemi [3].

A luglio 2026 l'Agenzia ha aggiornato le sue risposte proprio su questo punto, e ha descritto il processo in quattro fasi: valutare il rischio della fornitura, stabilire i requisiti di sicurezza, imporli al fornitore, verificarli [4]. Il questionario che hai in mano è quasi sempre la terza e la quarta fase insieme.

Il tuo nome potrebbe essere già all'Agenzia

C'è una novità del 2026 che pochi fornitori conoscono. Con la determinazione 127437 del 2026 i soggetti NIS devono comunicare all'Agenzia l'elenco dei propri fornitori rilevanti [5]: rilevante è chi fornisce prodotti o servizi informatici, oppure una fornitura non facilmente sostituibile la cui interruzione inciderebbe in modo significativo sui servizi del cliente [5]. Per ciascuno si comunicano la denominazione, il codice fiscale, il Paese della sede e i codici CPV delle forniture [6], e la finestra per farlo andava dal 15 aprile al 31 maggio [5].

Lo scopo dichiarato è individuare, insieme alle autorità di settore, i fornitori così centrali per il sistema da dover essere trattati a loro volta come soggetti essenziali o importanti [5]. Non è automatico e non riguarda chi vende cancelleria, ma spiega perché i questionari stanno diventando più seri: il cliente non sta compilando una pratica per sé, sta rispondendo a sua volta di te.

Le domande tipiche, e cosa c'è dietro

I questionari cambiano nella forma, ma le domande che contano sono sempre le stesse, perché discendono dagli stessi criteri di valutazione: quanto entri nei sistemi del cliente, quali suoi dati tocchi, quanto lo danneggerebbe un tuo fermo [3][4].

La domanda sui tempi di notifica merita attenzione. Il tuo cliente, se subisce un incidente significativo, deve mandare una preallerta entro 24 ore da quando ne viene a conoscenza, una notifica entro 72 ore e una relazione finale entro un mese [8]. Se l'incidente parte da te, il suo orologio dipende dalla tua telefonata: per questo ti chiederà di avvisarlo in poche ore. Accetta un tempo che puoi rispettare davvero, e chiedi che il contratto dica cosa si intende per incidente, altrimenti ogni virus su un portatile diventa una comunicazione formale.

Proporzionalità: puoi chiedere cosa ti riguarda

È il punto che cambia il rapporto di forza, ed è scritto nelle risposte dell'Agenzia di luglio 2026. Non è richiesto che il cliente definisca requisiti di sicurezza per tutte le forniture, ma per quelle con un potenziale impatto sulla sicurezza. Non è richiesto che ti giri tutte le misure di base che valgono per lui. Le categorie di misure possono essere modulate, fino a escluderne alcune, in base al contesto, al rischio e alla criticità del servizio, e nei contratti misti i requisiti vanno calibrati secondo proporzionalità e pertinenza [4].

Tradotto: se gli fornisci la manutenzione del giardino e ricevi sessanta domande sulla segmentazione della rete, è probabile che il cliente abbia mandato lo stesso modulo a tutti. Chiedere per iscritto quali sezioni si applicano alla tua fornitura non è un modo per sottrarsi: è quello che l'Agenzia stessa si aspetta che il cliente faccia. Vale anche il contrario: se gestisci i suoi server o il suo sito, aspettati domande serie e preparati a rispondere sul serio.

Come rispondere senza farsi male

1. Non scrivere «sì» a ciò che non puoi dimostrare. «In corso, completamento previsto entro marzo» è una risposta accettabile e vale più di un sì che crolla alla prima verifica.
2. Distingui fra «lo facciamo» e «lo facciamo ed è scritto». Molte piccole imprese fanno backup e gestiscono gli accessi con cura, ma non ne hanno traccia: in una verifica, ciò che non è documentato equivale a ciò che non è fatto.
3. Leggi le clausole che accompagnano il questionario: diritto di verifica presso di te, tempi di notifica, responsabilità in caso di incidente, obbligo di estendere i requisiti ai tuoi subfornitori. Per i limiti di responsabilità e le penali serve un legale, non un tecnico.
4. Rispondi per la tua fornitura, non per l'azienda in astratto. Se gestisci i dati del cliente su un solo servizio cloud, descrivi quello.
5. Tieni una copia di ciò che hai dichiarato, con la data. Fra un anno qualcuno te lo chiederà di nuovo, probabilmente con un modulo diverso.

Il fascicolo da preparare una volta sola

Il modo più economico per affrontare i questionari è smettere di rispondere da zero a ciascuno. Cinque documenti brevi coprono la quasi totalità delle domande, e si riusano con ogni cliente:

1. Una politica di sicurezza di una o due pagine: cosa proteggi, con quali regole, chi ne risponde, quando la rivedi.
2. L'elenco degli accessi ai sistemi e ai dati dei clienti, con la procedura per chiuderli quando un collaboratore se ne va.
3. Lo schema dei backup: cosa, dove, ogni quanto, e la data dell'ultima prova di ripristino con il suo esito.
4. La procedura per gli incidenti: chi se ne accorge, chi decide, chi avvisa il cliente e in quanto tempo, con i contatti già scritti.
5. L'elenco dei tuoi fornitori che toccano dati dei clienti: posta, cloud, gestionale, assistenza esterna.

Preparare questo fascicolo per una piccola impresa è un lavoro di giorni, non di mesi, e quasi sempre fa emergere le stesse due o tre lacune vere: l'autenticazione a due fattori attiva per alcuni e non per tutti, un backup che nessuno ha mai provato a ripristinare, nessuno incaricato di avvisare il cliente. Sono anche le tre cose che fanno più differenza il giorno in cui qualcosa va storto, con o senza la NIS2.

Questo articolo descrive il quadro tecnico e le indicazioni pubbliche dell'Agenzia, e non sostituisce un parere legale sul contratto. Per la parte di sicurezza, una valutazione iniziale serve proprio a capire quali risposte puoi già dare con le prove in mano e quali richiedono prima un intervento.