In sintesi
- I soggetti NIS devono proteggere la catena di fornitura, e i questionari sono lo strumento per valutare i fornitori.
- Un fornitore è rilevante se fornisce ICT dell'allegato I (punti 8 e 9) o una fornitura non fungibile.
- Rispondi solo dove puoi mostrare una prova e dichiara le lacune con un piano datato.
- Controlla le clausole su notifica incidenti, audit e sub-fornitori.
Arriva una mail del tuo cliente con un allegato di sessanta domande e una scadenza a dieci giorni. Il NIS2 questionario sicurezza è ormai un rito della filiera, e ha una ragione precisa: i soggetti NIS devono proteggere anche la propria catena di fornitura. Se sei un fornitore, ti conviene rispondere bene.
Perché ti arrivano questi questionari
Le FAQ ACN sulle misure di sicurezza per la supply chain (dalla MSB.12 alla MSB.19, come riassume Agenda Digitale) descrivono un processo a fasi, che parte dalla valutazione del fornitore. Il tuo cliente deve capire quanto dipende da te e quale rischio rappresenti. Il questionario è lo strumento con cui lo fa.
Secondo la Determinazione ACN 127437/2026 un fornitore è «rilevante» se fornisce servizi ICT dell'allegato I (punti 8 e 9) oppure se è non fungibile, cioè la sua interruzione avrebbe un impatto significativo. In quel caso le domande saranno più dure e arriveranno anche clausole contrattuali.
Come leggere le domande
Quasi tutti i questionari ruotano attorno agli stessi temi. Prima di rispondere conviene classificarli.
| Area | Domande tipiche | Evidenza da avere |
|---|---|---|
| Governance | Chi è il responsabile della sicurezza? Esiste una policy approvata? | Policy datata e firmata, nomina |
| Accessi | Autenticazione a più fattori? Revisione degli accessi? | Configurazione, registro delle revisioni |
| Continuità | Backup testati? Piano di ripristino? | Verbale di un test di ripristino |
| Incidenti | Procedura di gestione e notifica al cliente? | Procedura e tempi di comunicazione |
| Persone | Formazione periodica? | Registro presenze, materiale |
| Sub-fornitori | Chi altro tocca i dati del cliente? | Elenco dei responsabili terzi |
Un metodo in cinque mosse
Quando assisto un fornitore, lavoro così.
- Nomino un unico referente per le risposte, che coordina IT, legale e direzione.
- Costruisco una base di risposte standard, datata, riutilizzabile per i questionari successivi.
- Rispondo «sì» solo dove posso mostrare una prova entro un giorno.
- Dichiaro con onestà le lacune, aggiungendo il piano di rimedio con una data.
- Conservo copia di ogni questionario inviato: i clienti confrontano le versioni nel tempo.
La sincerità paga: un «parziale, chiusura prevista a gennaio» è più credibile di una colonna di «sì» senza prove.
NIS2 questionario sicurezza: la libreria di risposte
Chi riceve più questionari all'anno dovrebbe costruire una libreria di risposte. Ogni risposta ha cinque campi: la domanda tipo, la risposta approvata, la prova collegata, il responsabile e la data dell'ultima revisione.
La libreria riduce i tempi, perché molte domande si ripetono da cliente a cliente. Garantisce coerenza: le risposte non cambiano a seconda di chi compila. Rende visibili le lacune, perché le domande a cui non si sa rispondere si accumulano nello stesso posto. Aggiornala dopo ogni incidente, ogni cambio di fornitore critico e ogni revisione delle policy: una risposta non aggiornata è peggiore di una risposta mancante.
Un questionario compilato descrive punti di forza e debolezze della tua sicurezza, e va trattato come un documento sensibile. Prima di inviare dettagli tecnici valuta se esiste un accordo di riservatezza; evita di allegare diagrammi di rete completi o configurazioni, spesso basta una descrizione dei controlli e un'attestazione. Nelle fonti che ho consultato non risulta un obbligo di certificazione per i fornitori in quanto tale: conviene chiedere al cliente cosa considera sufficiente e, se non hai una certificazione, indicare quali controlli equivalenti hai attivato e come li dimostri.
Le clausole contrattuali da guardare
Non limitarti alle domande. Le clausole che accompagnano il questionario impegnano la tua organizzazione. Leggi con attenzione i tempi di notifica degli incidenti al cliente, perché il cliente deve rispettare i propri obblighi verso il CSIRT: pre-notifica entro 24 ore e notifica entro 72 ore, come descrive la guida di Cyberness sulla notifica degli incidenti. Verifica poi i diritti di audit, gli obblighi sui sub-fornitori e la restituzione dei dati a fine contratto.
Se i questionari diventano frequenti, proponi tu un pacchetto standard: policy sintetiche, riassunto dei controlli, risultati dell'ultimo test di ripristino, elenco dei sub-fornitori. Molti clienti lo accettano volentieri.
Cosa fare adesso
Prepara la tua base di risposte prima che arrivi il prossimo questionario. Per capire se anche la tua azienda rientra nel perimetro usa il test NIS2 e l'autovalutazione NIS2. Il metodo è descritto nella pagina consulente NIS2; per i concetti vedi il glossario sulla sicurezza della catena di fornitura e l'articolo NIS2 in pratica.
Domande frequenti
Perché il mio cliente mi manda un questionario NIS2?
Perché un soggetto NIS deve gestire il rischio della propria catena di fornitura e valuta i fornitori che toccano servizi o dati rilevanti.
Chi è un fornitore rilevante?
Secondo la Determinazione ACN 127437/2026, chi fornisce servizi ICT dell'allegato I (punti 8 e 9) o una fornitura non fungibile con impatto significativo.
Posso rispondere «parziale»?
Sì, ed è meglio di un «sì» senza prove, purché accompagnato da un piano di rimedio con una data.
Quali tempi di notifica incidenti valgono?
Il soggetto NIS deve inviare la pre-notifica entro 24 ore e la notifica entro 72 ore; il contratto può imporre al fornitore tempi più stretti verso il cliente.