Catena di approvvigionamento NIS 2: le basi
L'articolo 21(2)(d) NIS 2 richiede alle aziende regolate di adottare misure di sicurezza della catena di approvvigionamento, compresi gli aspetti di sicurezza nelle relazioni con i fornitori e i prestatori di servizi diretti. Questa pagina copre le basi: cosa dice la regola, chi raggiunge, cosa possono chiedervi i vostri clienti e come i fornitori dimostrano la cybersicurezza senza diventare essi stessi un soggetto regolato.
Perché i piccoli fornitori sono interessati da NIS2
NIS2 (art. 21(2)(d) NIS 2, recepito nel § 30 Abs. 2 Nr. 4 BSIG) richiede a ogni soggetto essenziale e importante (circa 29.500 in Germania, secondo il BSI) di adottare misure di sicurezza della catena di approvvigionamento, compresi gli aspetti di sicurezza nelle relazioni con i fornitori e i prestatori di servizi diretti. Nello scegliere tali misure deve tenere conto delle vulnerabilità specifiche di ciascun fornitore diretto e della qualità complessiva dei prodotti e delle prassi di sicurezza dei suoi fornitori (art. 21(3)). I contratti sono la via consueta: la motivazione della legge tedesca cita come esempio gli accordi contrattuali con i fornitori.
Se la vostra azienda ha meno di 50 dipendenti e il suo fatturato annuo e il totale di bilancio non superano entrambi i 10 milioni di EUR, di norma non siete direttamente regolati da NIS2. Alcuni tipi di soggetto sono regolati a prescindere dalle dimensioni, come i prestatori di servizi fiduciari, i fornitori DNS, i registri TLD, i piccoli fornitori di telecomunicazioni pubbliche e i gestori di impianti critici (§ 28 BSIG). Se fornite servizi IT, software, componenti, logistica o un altro servizio a un'azienda regolata, i requisiti NIS2 possono raggiungervi attraverso i vostri contratti.
§30(2) n. 4 BSIG: sicurezza della catena di approvvigionamento
I soggetti regolati devono adottare misure per la "sicurezza della catena di approvvigionamento, compresi gli aspetti relativi alla sicurezza nelle relazioni con i fornitori o i prestatori di servizi diretti" (§ 30 Abs. 2 Nr. 4 BSIG, che recepisce l'art. 21(2)(d) NIS 2). L'obbligo resta in capo al soggetto regolato; un fornitore assume obblighi solo attraverso ciò che concorda con quel cliente.
Requisiti contrattuali
Molte aziende regolate da NIS2 usano i contratti con i fornitori per adempiere al proprio obbligo sulla catena di approvvigionamento; la motivazione della legge tedesca cita come esempi gli accordi su misure di gestione del rischio, gestione degli incidenti e gestione delle patch. Aspettatevi clausole di questo tipo al prossimo contratto o rinnovo.
Audit e questionari per i fornitori
I vostri clienti possono inviarvi questionari di sicurezza e condurre audit. Le risposte che avete già messo per iscritto si danno in fretta.
Obblighi di notifica degli incidenti
Se un incidente di sicurezza presso la vostra azienda provoca un incidente significativo presso un cliente regolato da NIS2, questo deve notificarlo al BSI: un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale un mese dopo (§ 32 BSIG). Per rispettare queste scadenze ha bisogno di sentirvi rapidamente.
Vantaggio competitivo
Quando un'azienda regolata sceglie tra due fornitori e uno è in grado di dimostrare una sicurezza allineata a NIS2 mentre l'altro no: la scelta è ovvia. La conformità diventa un elemento di differenziazione nelle vendite.
Valutazione del rischio
Identificate e documentate i rischi per i sistemi che usate per il lavoro con i clienti. Non deve essere complessa: un elenco strutturato con piani di trattamento è sufficiente.
Controllo degli accessi
Chi può accedere ai dati e ai sistemi dei clienti? Accesso basato sui ruoli, MFA per l'accesso remoto e gestione documentata degli utenti.
Gestione degli incidenti
Un processo documentato per rilevare, rispondere e notificare gli incidenti di sicurezza. Nessuna legge fissa una scadenza per un fornitore; la fissa ciò che concordate con il vostro cliente, e il termine del cliente stesso parte da 24 ore.
Continuità operativa
Cosa succede se i vostri sistemi vanno in down? Strategia di backup, procedure di ripristino e piani testati per continuare a erogare ai vostri clienti.
Politiche e prove
Politiche di sicurezza scritte, registri della formazione e un audit trail che dimostra che seguite le vostre stesse regole. Questo è ciò che gli auditor verificano effettivamente.
Verificate la vostra esposizione
Usate la nostra verifica di applicabilità gratuita per confermare il vostro stato NIS2. Anche se non rientrate direttamente nell'ambito di applicazione, individuate quali dei vostri clienti sono regolati da NIS2: quei contratti arriveranno con nuovi requisiti.
Eseguite un gap assessment
Confrontate le vostre attuali prassi di sicurezza con le 10 misure del §30 BSIG. La maggior parte delle piccole aziende ne fa già una parte in modo informale: la lacuna è di solito la documentazione, non la prassi.
Attuate le basi
Iniziate dagli elementi a maggiore impatto: controllo degli accessi, strategia di backup, processo di risposta agli incidenti. La piattaforma nisd2.eu vi guida attraverso ciascun requisito con modelli predefiniti.
Costruite il vostro pacchetto di prove
Quando il vostro cliente invia un questionario di sicurezza, vi servono risposte pronte. Politiche, registri della formazione, valutazioni del rischio e misure tecniche: tutto documentato ed esportabile.
Rivedete annualmente
La conformità NIS2 non è un progetto una tantum. Programmate una revisione annuale dei vostri rischi, aggiornate le vostre politiche e rinnovate la formazione del personale.
Domande frequenti
Sono legalmente tenuto a conformarmi a NIS2 come piccolo fornitore?▾
Non direttamente: NIS2 si applica alle aziende che superano la soglia delle medie imprese dell'UE (50+ dipendenti OPPURE (oltre 10M EUR di fatturato E oltre 10M EUR di totale di bilancio), ai sensi della raccomandazione della Commissione 2003/361/CE) in un settore regolato. Alcuni tipi di soggetto sono coperti a prescindere dalle dimensioni (§ 28 BSIG). Tuttavia, i vostri clienti regolati da NIS2 sono legalmente tenuti ad adottare misure di sicurezza della catena di approvvigionamento (§ 30 Abs. 2 Nr. 4 BSIG, che recepisce l'art. 21(2)(d) NIS 2). Il vostro cliente può trasferirvi dei requisiti nel contratto. Non sarete sanzionati dal BSI, ma potreste perdere contratti.
Cosa succede se non mi conformo?▾
I vostri clienti regolati da NIS2 rischiano sanzioni fino a 10M EUR / 2% del fatturato annuo globale (soggetti essenziali) o 7M EUR / 1,4% (soggetti importanti) se non soddisfano i loro obblighi di sicurezza della catena di approvvigionamento (§65 BSIG). Vi richiederanno di conformarvi oppure vi sostituiranno con un fornitore che può farlo. La conseguenza pratica è la perdita di lavoro, non una sanzione del BSI.
Quanto costa la conformità del fornitore?▾
Per una piccola azienda il costo principale è il tempo. Quanto ne serve dipende da ciò che è già in atto: la legge chiede misure proporzionate all'esposizione al rischio e alle dimensioni dell'azienda (§ 30 Abs. 1 BSIG), e un fornitore non regolato deve solo ciò che concorda con i suoi clienti.
Posso usare la conformità NIS2 come punto di forza commerciale?▾
Sì. Quando potete dimostrare prassi di sicurezza allineate a NIS2 con prove documentate, rendete più facile al vostro cliente adempiere al proprio obbligo sulla catena di approvvigionamento.
E se il mio cliente non l'ha ancora chiesto?▾
Può darsi. La scadenza per la registrazione BSI è passata il 6 marzo 2026 e la sicurezza della catena di approvvigionamento è una delle 10 misure del § 30 Abs. 2 BSIG (Nr. 4). Anticipare la richiesta rende facile la risposta quando arriva.
In pratica
Dove compare nel percorso guidato
Il percorso guidato ne fa dei passi da compilare, con la legge spiegata accanto a ciascuno. Apri un passo per vedere la sua schermata, compilata per un'azienda di fantasia.
Il percorso è in tedesco e in inglese.
Supply Chain Security
Write down who works for you
A list of your suppliers and service providers.
Supply Chain Security
Record what you have agreed with your suppliers
For each supplier: what does the contract say about security?
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
