Fino a qualche anno fa i questionari di sicurezza erano una pratica da grandi gruppi. Oggi arrivano anche alla piccola software house, allo studio che elabora le paghe, al manutentore che si collega da remoto agli impianti. Spesso accompagnano il rinnovo di un contratto e hanno scadenze strette.
Per convincere il cliente non basta un’autodichiarazione. Servono evidenze datate e verificabili: autenticazione a più fattori sugli accessi, un report recente di vulnerability assessment con il piano di rimedio, backup con un test di ripristino documentato, una procedura per la gestione degli incidenti e il registro della formazione del personale. E vale anche per chi lavora con clienti che non rientrano nella NIS2.
L’obbligo nasce dal cliente e arriva al fornitore con il contratto
La spinta principale arriva dalla NIS2. Il D.Lgs. 138/2024, che recepisce la direttiva in Italia, chiede ai soggetti essenziali e importanti di gestire anche i rischi della catena di approvvigionamento (art. 24). Per molte organizzazioni le misure di sicurezza di base definite dall’Agenzia per la Cybersicurezza Nazionale (ACN) sono diventate operative con la scadenza di fine ottobre 2026.
Nelle FAQ aggiornate a luglio 2026 l’ACN indica la strada: valutare il rischio di ogni fornitura, definire requisiti di sicurezza, inserirli nei contratti e verificarne il rispetto nel tempo, in modo documentato. Con la determinazione 127437/2026, inoltre, i soggetti NIS comunicano all’Agenzia i propri “fornitori rilevanti”, cioè quelli ICT o difficili da sostituire.
Il fornitore non ha obblighi diretti verso l’ACN. Li ha verso il cliente, che a sua volta deve dimostrare di averlo valutato.
La NIS2 però non è l’unica fonte di queste richieste. Chi tratta dati personali per conto di un cliente è responsabile del trattamento e, in base all’articolo 28 del GDPR, deve offrire garanzie sufficienti e consentire verifiche e ispezioni. Chi fornisce servizi ICT a banche e assicurazioni deve accettare le clausole previste dal regolamento DORA, applicato dal 17 gennaio 2025, compresi i diritti di audit. Le aziende certificate ISO/IEC 27001 devono controllare la sicurezza dei propri fornitori, e molte polizze cyber chiedono lo stesso.
Il risultato è che la domanda “come proteggete i nostri dati e i nostri sistemi?” arriva ormai da clienti di ogni tipo.
Non tutti i fornitori ricevono le stesse domande
Le indicazioni dell’ACN vanno verso un approccio proporzionato al rischio. Il cliente valuta quattro cose: quanto il fornitore accede a dati critici, quale impatto avrebbe un’interruzione della fornitura, quanto costerebbe ripristinarla e che ruolo ha il fornitore nella gestione dei sistemi informatici.
Chi consegna materiale di consumo riceverà poche domande. Chi amministra server, sviluppa il gestionale o si collega da remoto agli impianti riceverà un questionario dettagliato e una richiesta di documenti. Il primo passo è capire in quale categoria si rientra: così si risponde senza sottovalutare la richiesta, ma anche senza fare più del necessario.
Le evidenze che fanno la differenza
Un’evidenza utile ha tre caratteristiche: è datata, specifica e verificabile. Le aree che ricorrono più spesso nelle richieste dei clienti sono queste:
- governance: un referente per la sicurezza e una politica breve, approvata dalla direzione;
- identità e accessi: autenticazione a più fattori su tutti gli accessi e account amministrativi separati;
- vulnerabilità e aggiornamenti: un report di assessment recente, il piano di rimedio e lo stato degli aggiornamenti;
- backup: la politica adottata e il verbale dell’ultimo test di ripristino;
- incidenti: una procedura scritta con referenti, canali e tempi di notifica al cliente;
- persone: il registro della formazione e gli esiti di eventuali simulazioni di phishing;
- accessi ai sistemi del cliente: strumenti di controllo remoto concordati e sessioni tracciate;
- fornitori del fornitore: l’elenco dei servizi cloud e dei sub-fornitori che trattano dati del cliente.
Sulla formazione vale la stessa logica delle altre aree: non basta dichiarare che il personale è “sensibilizzato”. Serve un registro con date, contenuti e partecipanti. Deve coprire sia la sensibilizzazione di tutti i dipendenti sia la preparazione tecnica di chi amministra reti e sistemi, per esempio con corsi di cybersecurity pensati per i diversi ruoli.
Il report di vulnerability assessment conta più di molte dichiarazioni
Tra tutte le evidenze, il report di un vulnerability assessment periodico è una delle più convincenti. Ha una data, un perimetro definito, risultati misurabili e spesso è prodotto da un soggetto esterno.
Il cliente però non cerca un report con “zero vulnerabilità”: un risultato del genere fa nascere dubbi su cosa sia stato davvero analizzato. Cerca la prova che il fornitore sa cosa ha esposto, sa cosa correggere per primo e lo sta correggendo. Conta quindi la sequenza completa: rilevazione, piano di rimedio, verifica che le correzioni abbiano funzionato.
C’è poi un accorgimento spesso trascurato. Al cliente si mostra una sintesi, non il report tecnico completo. La sintesi riporta perimetro, data, numero di problemi per livello di priorità e stato del piano di rimedio. Un elenco dettagliato delle vulnerabilità ancora aperte, inviato per email, diventa a sua volta un rischio.
Gli errori che costano credibilità
Il primo è rispondere “sì” a tutto. Un questionario senza nessuna risposta parziale insospettisce. È più credibile un “in corso, completamento previsto entro marzo” accompagnato da un piano.
Il secondo è dichiararsi “certificati NIS2”: questa certificazione non esiste. Una ISO 27001 è un’evidenza autorevole, ma non è obbligatoria e non sostituisce le risposte puntuali.
Il terzo è presentare documenti che non corrispondono alla realtà. Una politica copiata da un modello, che prevede controlli mai applicati, è peggio di nessuna politica, perché alla prima verifica la differenza emerge. Lo stesso vale per le evidenze scadute, come un test di ripristino di tre anni prima.
L’ultimo è firmare clausole impossibili da rispettare, come la notifica di qualsiasi incidente entro un’ora o audit senza preavviso. Prima di accettarle conviene verificare di poterle mantenere e, se serve, negoziarle.
Da dove partire
Il lavoro si può organizzare in quattro passaggi. Prima si nomina un referente e si raccolgono i questionari e le clausole già ricevuti, perché le domande tendono a ripetersi. Poi si chiudono le lacune più visibili: autenticazione a più fattori, test di ripristino del backup, procedura per gli incidenti. Il terzo passo è misurare la propria esposizione con un vulnerability assessment e avviare il piano di rimedio. Infine si riunisce tutto in un dossier di sicurezza del fornitore, da aggiornare almeno una volta l’anno e dopo ogni cambiamento rilevante.
Una PMI che arriva alla richiesta del cliente con un dossier già pronto non si limita a superare un controllo: dimostra di essere un fornitore affidabile. E nella scelta tra due offerte simili, questo pesa sempre di più.
In questo percorso Nexsys, società di Verona specializzata in formazione e servizi IT per le imprese, affianca le PMI su due fronti: le verifiche tecniche, a partire dal vulnerability assessment, e la formazione delle persone, dagli utenti a chi gestisce reti e sistemi.
