La novità esplosiva di aprile 2026: non basta più proteggere i propri sistemi
Fino a qualche mese fa, molte aziende soggette alla normativa NIS2 si concentravano sulla propria sicurezza interna: aggiornare i sistemi, formare il personale, notificare gli incidenti. Ma con la pubblicazione della Determinazione ACN 127437/2026 del 13 aprile 2026, il perimetro degli obblighi si è allargato in modo significativo. Oggi non è più sufficiente proteggere i propri asset digitali: devi anche rispondere di chi lavora per te.
L'Agenzia per la Cybersicurezza Nazionale ha introdotto l'obbligo, per i soggetti registrati come essenziali o importanti, di dichiarare sulla piattaforma ACN i propri fornitori rilevanti entro le scadenze previste per ottobre 2026. Si tratta di un cambiamento epocale nella gestione della supply chain NIS2 in Italia, che tocca direttamente migliaia di aziende — e indirettamente decine di migliaia di fornitori ICT, consulenti e integratori di sistema.
Se sei un responsabile IT, un CFO o un imprenditore di una PMI italiana, questo articolo è pensato per te. Che tu debba dichiarare i tuoi fornitori o che tu sia un fornitore che riceve richieste di compliance dai clienti, troverai qui tutto ciò che serve sapere per agire adesso.
Cos'è un "fornitore rilevante" secondo l'ACN: la definizione e chi rientra
La Determinazione ACN 127437/2026 introduce una definizione precisa di fornitore rilevante: si tratta di qualsiasi soggetto terzo che fornisce prodotti, servizi o processi ICT che incidono in modo diretto o significativo sulla sicurezza delle reti e dei sistemi informativi del soggetto NIS2.
In termini pratici, rientrano in questa categoria:
- Cloud provider che ospitano applicazioni critiche o dati sensibili dell'organizzazione
- Fornitori di software gestionale (ERP, CRM, piattaforme HR) con accesso alle infrastrutture aziendali
- Società di manutenzione e assistenza IT che hanno accesso remoto o fisico ai sistemi
- Consulenti IT e system integrator coinvolti in progetti infrastrutturali critici
- Fornitori di connettività e operatori di telecomunicazioni
- Vendor di soluzioni di sicurezza come SIEM, firewall gestiti, servizi SOC in outsourcing
Non tutti i fornitori di un'azienda NIS2 sono automaticamente "rilevanti": la valutazione deve essere fatta caso per caso, tenendo conto del livello di accesso ai sistemi critici, del tipo di servizio erogato e dell'impatto potenziale in caso di compromissione del fornitore stesso. Il D.Lgs. 138/2024 — che recepisce la Direttiva NIS2 in Italia — stabilisce che questa analisi è responsabilità del soggetto obbligato, non del fornitore.
L'obbligo di dichiarazione sulla piattaforma ACN: cosa devi comunicare e entro quando
La piattaforma ACN fornitori NIS2 è lo strumento ufficiale attraverso cui i soggetti essenziali e importanti devono censire e comunicare i propri fornitori rilevanti. Le informazioni da trasmettere includono, tra l'altro:
- Identificazione del fornitore (ragione sociale, partita IVA, paese di stabilimento)
- Tipologia di servizio o prodotto fornito
- Livello di criticità del fornitore rispetto ai sistemi del soggetto NIS2
- Misure contrattuali di sicurezza adottate
- Eventuali certificazioni del fornitore (es. ISO 27001, SOC 2)
Le scadenze NIS2 ottobre 2026 rappresentano il termine entro cui completare questa dichiarazione. I soggetti essenziali hanno obblighi più stringenti e tempistiche prioritarie rispetto ai soggetti importanti, ma entrambe le categorie devono attivarsi senza attendere l'ultimo momento. La mancata dichiarazione o una dichiarazione incompleta può comportare sanzioni amministrative significative, previste dallo stesso D.Lgs. 138/2024 NIS2 fornitori.
Come mappare la tua supply chain ICT: i passi pratici da fare subito
La NIS2 gestione supply chain richiede un approccio metodico. Ecco una checklist operativa per iniziare oggi:
- ☐ Censire tutti i fornitori ICT attivi: raccogliere contratti, accordi di servizio e accessi concessi negli ultimi 24 mesi
- ☐ Classificare i fornitori per criticità: distinguere tra chi ha accesso ai sistemi core e chi eroga servizi accessori
- ☐ Valutare il rischio di ogni fornitore rilevante: considerare probabilità e impatto di un incidente che origina dal fornitore
- ☐ Verificare i contratti esistenti: aggiornare le clausole di sicurezza, includere requisiti NIS2 e SLA specifici
- ☐ Richiedere documentazione ai fornitori: certificazioni, politiche di sicurezza, piani di risposta agli incidenti
- ☐ Registrare i risultati sulla piattaforma ACN: caricare le informazioni richieste entro le scadenze previste
- ☐ Pianificare revisioni periodiche: la supply chain cambia nel tempo — la mappatura deve essere aggiornata almeno annualmente
Questo processo non è una tantum: va integrato nella governance della sicurezza aziendale in modo continuativo. Per le organizzazioni che non dispongono di risorse interne dedicate, affidarsi a un supporto NIS2 per la supply chain può fare la differenza tra essere compliant in tempo e incorrere in sanzioni.
Sei un fornitore di un'azienda NIS2? Cosa ti verrà chiesto e come prepararti
Se la tua azienda fornisce servizi IT, software o consulenza a organizzazioni soggette alla normativa NIS2, preparati a ricevere richieste sempre più frequenti e dettagliate. I tuoi clienti hanno l'obbligo di valutarti come fornitore ICT NIS2 Italia e di dichiarare la relazione sulla piattaforma ACN.
In concreto, ti potranno essere chiesti:
- Questionari di sicurezza con domande su policy, controlli e procedure interne
- Copia di certificazioni come ISO 27001 o equivalenti
- Evidenze di penetration test o vulnerability assessment recenti
- Clausole contrattuali specifiche sulla gestione degli incidenti e la notifica tempestiva
- Accesso limitato e tracciato ai sistemi del cliente, con log verificabili
Questo non significa che tu debba diventare automaticamente soggetto NIS2 — ma significa che devi essere in grado di dimostrare ai tuoi clienti un livello adeguato di maturità in cybersecurity. Le PMI e fornitori supply chain NIS2 Italia che si preparano in anticipo hanno un vantaggio competitivo concreto: possono rispondere alle richieste dei clienti più velocemente e posizionarsi come partner affidabili sul mercato.
NIS2 e GDPR nella supply chain: il doppio obbligo che molti ignorano
Uno degli errori più diffusi è trattare NIS2 e GDPR come due universi separati. In realtà, nella gestione della supply chain NIS2, i due framework si sovrappongono frequentemente. Un fornitore che accede a sistemi contenenti dati personali è contemporaneamente un soggetto rilevante NIS2 e un potenziale responsabile del trattamento GDPR.
Questo significa che i contratti con i fornitori devono includere sia le clausole di sicurezza richieste dal D.Lgs. 138/2024 che i DPA (Data Processing Agreement) previsti dal GDPR. La mancanza di questa doppia copertura espone l'azienda a rischi su due fronti regolatori distinti, con autorità di controllo diverse (ACN per NIS2, Garante per GDPR) e sanzioni potenzialmente cumulative.
Gli errori più comuni nella gestione della supply chain NIS2
Lavorando con organizzazioni di diverse dimensioni, emergono alcune criticità ricorrenti che rallentano o compromettono la compliance:
- Sottovalutare il numero di fornitori rilevanti: molte aziende pensano di averne pochi, ma quando si fa una mappatura seria emergono decine di soggetti da analizzare
- Affidarsi a contratti obsoleti: accordi stipulati prima del 2023 raramente contengono clausole adeguate agli standard NIS2
- Non coinvolgere il reparto legale: la compliance NIS2 supply chain non è solo un tema IT — richiede una revisione contrattuale e legale approfondita
- Aspettare che siano i fornitori a muoversi: l'obbligo è del soggetto NIS2, non del fornitore. Se il cliente non chiede, molti fornitori non agiscono
- Ignorare i fornitori di quarto livello: un tuo fornitore cloud potrebbe a sua volta appoggiarsi a infrastrutture di terzi non verificate
Come un partner tecnico e legale può aiutarti a gestire fornitori e compliance
Affrontare la NIS2 supply chain PMI Italia senza supporto esterno è possibile, ma rischioso — soprattutto per le organizzazioni che non dispongono di un team dedicato alla cybersecurity e alla compliance normativa. Un partner specializzato può affiancarti in ogni fase del processo: dalla mappatura iniziale dei fornitori rilevanti fino alla registrazione sulla piattaforma ACN e alla revisione contrattuale.
Il team di Webristle offre consulenza tecnica e legale NIS2 per aziende soggette agli obblighi della direttiva e per i loro fornitori. Con una presenza operativa a Roma e Bologna, il team è disponibile per assessment in sede o completamente da remoto, adattandosi alle esigenze di ogni organizzazione — dalle grandi imprese alle PMI.
L'approccio integra competenze tecniche (analisi dei sistemi, gap assessment, configurazione dei processi di monitoraggio) e competenze legali (revisione dei contratti con i fornitori, adeguamento delle clausole NIS2 e GDPR, supporto nella gestione delle notifiche ACN). Questa combinazione è essenziale perché la consulenza NIS2 Italia efficace non può essere solo tecnica o solo legale: deve essere entrambe le cose contemporaneamente.
Se sei un fornitore che vuole prepararsi alle richieste dei clienti NIS2, il nostro team specializzato NIS2 può aiutarti a strutturare la documentazione, ottenere le certificazioni richieste e rispondere ai questionari di sicurezza in modo efficace e tempestivo.
Conclusione: agire adesso, non aspettare ottobre
Le scadenze NIS2 ottobre 2026 sembrano lontane, ma la mappatura dei fornitori rilevanti, la revisione contrattuale e la registrazione sulla piattaforma ACN richiedono tempo — molto più di quanto si pensi. Chi inizia adesso ha il vantaggio di poter agire con calma, correggere gli errori e costruire processi sostenibili nel tempo. Chi aspetta l'ultimo momento rischia di presentarsi impreparato di fronte all'ACN e ai propri clienti.
La Determinazione ACN 127437/2026 ha reso la supply chain un tema centrale della compliance NIS2 in Italia. Non è più un optional: è un obbligo con scadenze precise e conseguenze reali.
Inizia oggi la mappatura dei tuoi fornitori rilevanti. Contatta il nostro team per un primo assessment gratuito e scopri come gestire la tua supply chain in modo conforme alla normativa NIS2: webristle.com/it/nis2
FAQ: le domande più frequenti sulla supply chain NIS2
Sono un piccolo fornitore IT, devo fare qualcosa?
Non sei direttamente obbligato dalla NIS2 a meno che tu non sia registrato come soggetto essenziale o importante. Tuttavia, se fornisci servizi a organizzazioni NIS2, i tuoi clienti ti chiederanno documentazione e garanzie sulla tua sicurezza informatica. Prepararti in anticipo ti permette di rispondere rapidamente e di distinguerti dalla concorrenza.
Entro quando devo comunicare i fornitori rilevanti all'ACN?
Le scadenze principali sono fissate per ottobre 2026, con priorità per i soggetti essenziali rispetto ai soggetti importanti. Tuttavia, la Determinazione ACN 127437/2026 prevede che la mappatura sia un processo continuo: non si tratta di un adempimento una tantum ma di un obbligo strutturale da mantenere aggiornato nel tempo.
Come faccio a sapere se un mio fornitore è "rilevante" ai sensi della NIS2?
La valutazione dipende dal livello di accesso del fornitore ai tuoi sistemi crit
