NIS2 e fornitori software: cosa chiede davvero il D.Lgs. 138/2024
Ti è arrivato un questionario di sicurezza da un cliente «soggetto NIS2»? Il D.Lgs. 138/2024 non ti rende automaticamente soggetto — un fornitore entra in ambito solo in due casi precisi — ma obbliga il tuo cliente a valutare le tue pratiche di sicurezza, procedure di sviluppo sicuro comprese. La lettura tecnica di chi il software lo fornisce: chi è soggetto davvero, le dieci misure minime che il questionario ricalca, i termini che decorrono dalla comunicazione ACN e le sanzioni, articoli citati.
Il questionario di sicurezza è arrivato. E adesso?
Un fornitore software non diventa soggetto NIS2 perché lo è il suo cliente: il D.Lgs. 138/2024 obbliga il cliente a valutarti (art. 24, c. 3) e quell'obbligo ti arriva per contratto. Cosa ti riguarda davvero, cosa no, e perché.
Lettura tecnica di AraLith, software house in provincia di Roma, attiva dal 2007, che il software lo fornisce: non è una consulenza legale. Ogni obbligo e ogni termine citato rimanda all'articolo del decreto da cui proviene.
In sintesi: cosa devi sapere se fornisci software
Il D.Lgs. 138/2024, che recepisce in Italia la direttiva NIS2 ed è in vigore dal 16 ottobre 2024, non rende «soggetto» chi fornisce software a un'azienda regolata. Obbliga invece il cliente a valutare la sicurezza dei propri fornitori, e quell'obbligo arriva al fornitore per contratto: questionari, clausole, richieste di evidenze.
- Art. 3: un fornitore entra in ambito solo per designazione individuale dell'ACN (c. 9, lett. f) o come impresa collegata in senso societario che fornisce servizi TIC al soggetto (c. 10).
- Art. 24, c. 3: il cliente deve tenere conto delle pratiche di sicurezza dei fornitori, «comprese le loro procedure di sviluppo sicuro».
- Art. 24, c. 2: dieci misure minime, dall'analisi dei rischi all'autenticazione a più fattori; i questionari le ricalcano.
- Artt. 7, 31 e 42: non esiste una scadenza unica; i termini partono dalla comunicazione dell'ACN a ciascun soggetto.
- Art. 38: sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali; non riguardano i fornitori in quanto tali.
Un fornitore software è soggetto alla NIS2?
Un fornitore software, di regola, non è soggetto alla NIS2: l'art. 3 del D.Lgs. 138/2024 la applica alle imprese delle tipologie elencate negli Allegati I e II che superano i massimali delle piccole imprese, e servono entrambi i requisiti. A prescindere dalle dimensioni sono dentro solo alcune categorie, fra cui reti e servizi di comunicazione elettronica, servizi fiduciari, registri TLD, DNS e registrar (c. 5), oltre alle pubbliche amministrazioni (c. 6).
La conseguenza per chi legge: una piccola software house generalista non è soggetta alla NIS2. Chi lavora per banche e assicurazioni deve guardare anche un altro regime: per i settori finanziari gli obblighi principali seguono il Reg. (UE) 2022/2554, DORA (art. 3, cc. 14-15), che fissa le clausole minime per i contratti ICT del settore finanziario.
In quali casi un fornitore entra nell'ambito NIS2?
Un fornitore entra nell'ambito NIS2 solo in due casi, entrambi scritti nell'art. 3 del D.Lgs. 138/2024: la designazione individuale da parte dell'ACN o il collegamento societario con un soggetto regolato. «Se il tuo cliente è NIS2, lo sei anche tu» è falso: il decreto non prevede alcun contagio automatico lungo la filiera.
-
Designazione individuale dell'ACN
L'Agenzia per la cybersicurezza nazionale può designare un'impresa come «elemento sistemico della catena di approvvigionamento, anche digitale» (art. 3, c. 9, lett. f), con notifica individuale (c. 13). È una decisione puntuale, non una regola generale.
-
Impresa collegata al soggetto
L'impresa collegata in senso societario (racc. 2003/361/CE) che fornisce servizi TIC o gestisce sistemi del soggetto regolato (art. 3, c. 10). Collegata significa partecipazioni e controllo, non «ha un contratto con».
Se non sei in nessuno dei due casi, il decreto non ti impone obblighi diretti. Ma questo non significa che la NIS2 non ti riguardi — significa che ti arriva da un'altra porta: il contratto.
Che cosa può chiederti il cliente in base all'art. 24?
In base all'art. 24, c. 3 del D.Lgs. 138/2024 il cliente regolato può chiederti evidenze su vulnerabilità, qualità dei prodotti e pratiche di sicurezza, perché deve tenere conto «della qualità complessiva dei prodotti e delle pratiche di sicurezza informatica dei propri fornitori [...], comprese le loro procedure di sviluppo sicuro».
Il punto di prospettiva conta: è un obbligo del cliente, non tuo. Il cliente però può adempierlo in un modo solo, cioè chiedendo a te. Da qui nascono i questionari di sicurezza, le clausole contrattuali su aggiornamenti e gestione degli incidenti, le richieste di evidenze sul modo in cui sviluppi. Un fornitore che risponde con documenti puntuali riduce il lavoro del cliente; uno che non sa rispondere diventa un rischio da gestire nella sua analisi della catena di fornitura.
Quali sono le misure minime che il questionario ricalca?
Le misure minime che i questionari NIS2 ricalcano sono le dieci elencate dall'art. 24, c. 2 del D.Lgs. 138/2024, dalla lettera a) alla lettera l). Se sai rispondere a queste voci per il tuo perimetro di fornitore, sai rispondere a quasi ogni questionario:
- a) Analisi dei rischi e politiche di sicurezza dei sistemi
- b) Gestione degli incidenti, notifiche comprese
- c) Continuità operativa: backup, ripristino in caso di disastro, gestione delle crisi
- d) Catena di approvvigionamento: anche i tuoi fornitori diretti
- e) Sviluppo sicuro: acquisizione, sviluppo e manutenzione, gestione e divulgazione delle vulnerabilità
- f) Valutazione dell'efficacia delle misure
- g) Igiene informatica di base e formazione
- h) Crittografia e, ove opportuno, cifratura
- i) Personale, controllo degli accessi e gestione dei beni
- l) Autenticazione a più fattori e comunicazioni protette
Noi a queste dieci voci abbiamo risposto pubblicamente, una per una: è il nostro questionario NIS2 già compilato, pubblicato prima che arrivi la richiesta.
Esiste una scadenza NIS2 per i fornitori software?
Una scadenza NIS2 unica per i fornitori software non esiste: il D.Lgs. 138/2024 non impone obblighi diretti al fornitore, e per i soggetti regolati i termini decorrono dalla comunicazione individuale dell'ACN (art. 7, c. 3), non da una data uguale per tutti.
1/1 – 28/2
Registrazione annuale
Ogni anno i soggetti si registrano o aggiornano i dati sulla piattaforma ACN; l'elenco dei soggetti essenziali e importanti è redatto entro il 31 marzo (art. 7, cc. 1-2).
Comunicazione
Inserimento nell'elenco
L'ACN comunica a ciascun soggetto, tramite la piattaforma, l'inserimento o la permanenza nell'elenco (art. 7, c. 3): da qui partono i termini.
9 e 18 mesi
Prima applicazione
«Sino al 31 dicembre 2025» il decreto ha fissato nove mesi per le notifiche (art. 25) e diciotto per gli artt. 23, 24 e 29, dalla comunicazione (art. 42, c. 1, lett. c).
Tempi graduali
Determinazioni ACN
Termini, modalità e tempi graduali di implementazione li stabilisce l'ACN, anche per settore e tipo di soggetto (art. 31, c. 2; art. 40, c. 5).
1/1 – 28/2
Registrazione annuale
Ogni anno i soggetti si registrano o aggiornano i dati sulla piattaforma ACN; l'elenco dei soggetti essenziali e importanti è redatto entro il 31 marzo (art. 7, cc. 1-2).
Comunicazione
Inserimento nell'elenco
L'ACN comunica a ciascun soggetto, tramite la piattaforma, l'inserimento o la permanenza nell'elenco (art. 7, c. 3): da qui partono i termini.
9 e 18 mesi
Prima applicazione
«Sino al 31 dicembre 2025» il decreto ha fissato nove mesi per le notifiche (art. 25) e diciotto per gli artt. 23, 24 e 29, dalla comunicazione (art. 42, c. 1, lett. c).
Tempi graduali
Determinazioni ACN
Termini, modalità e tempi graduali di implementazione li stabilisce l'ACN, anche per settore e tipo di soggetto (art. 31, c. 2; art. 40, c. 5).
La conseguenza pratica: due aziende simili possono avere termini diversi, perché il cronometro parte dalla comunicazione che ciascuna riceve e, fuori dalla fase di prima applicazione, dai tempi graduali che l'ACN fissa per settore e categoria (art. 31, c. 2). Se il tuo cliente ti mette fretta, la domanda utile è: «quando avete ricevuto la comunicazione ACN, e quali termini vi si applicano?». Le determinazioni dell'ACN con i termini oggi vigenti non sono citate qui: vanno lette su acn.gov.it nella versione aggiornata.
Quali sanzioni prevede la NIS2, e per chi?
Le sanzioni della NIS2 colpiscono i soggetti essenziali e importanti, non i loro fornitori: l'art. 38 del D.Lgs. 138/2024 prevede per i soggetti essenziali fino a 10 milioni di euro o il 2% del fatturato mondiale annuo, se superiore, e per gli importanti fino a 7 milioni o l'1,4%. Le violazioni minori arrivano allo 0,1% e allo 0,07% del fatturato; per le pubbliche amministrazioni essenziali da 25.000 a 125.000 euro. La reiterazione può raddoppiare o triplicare gli importi, e la registrazione tardiva fa contestare tutte le violazioni.
Il punto che cambia le conversazioni nei consigli di amministrazione è un altro: gli organi di amministrazione «sono responsabili delle violazioni» (art. 23, c. 1, lett. c) e l'art. 38, cc. 5-6, prevede la responsabilità delle persone fisiche che rappresentano il soggetto. Per questo i questionari ai fornitori vengono compilati e letti con attenzione. Per te, fornitore, il rischio non è la sanzione: è perdere il cliente.
Domande frequenti su NIS2 e fornitori
Il D.Lgs. 138/2024 è il decreto legislativo che recepisce in Italia la direttiva (UE) 2022/2555, detta NIS2, sulla sicurezza informatica dei soggetti essenziali e importanti. Il testo è in vigore dal 16 ottobre 2024; gli obblighi operativi decorrono invece dalla comunicazione individuale dell'ACN a ciascun soggetto (art. 7, c. 3, e art. 42).
Il fornitore software non ha un obbligo di legge verso il questionario NIS2: l'obbligo di valutare i fornitori è del cliente regolato (art. 24, c. 3 del D.Lgs. 138/2024). Il questionario diventa vincolante quando lo prevede il contratto, e un fornitore che non risponde resta un rischio aperto nella valutazione del cliente.
La NIS2 non obbliga il fornitore software a certificarsi: l'art. 27 del D.Lgs. 138/2024 consente all'ACN di imporre ai soggetti essenziali e importanti l'uso di prodotti, servizi e processi TIC certificati, anche acquistati da terzi. L'obbligo resta del soggetto regolato; al fornitore la certificazione può arrivare come richiesta contrattuale del cliente.
Rispondere al questionario non rende conforme alla NIS2 né il fornitore né il cliente: la conformità riguarda il soggetto regolato e l'insieme delle sue misure (art. 24 del D.Lgs. 138/2024). Le risposte del fornitore sono un elemento della valutazione della catena di fornitura, non una certificazione, e una lettura tecnica come questa non sostituisce un parere legale sul caso specifico.
Per chi fornisce software la differenza fra NIS2 e DORA sta nel modo in cui l'obbligo arriva: la NIS2 chiede al cliente regolato di valutare i fornitori senza fissare le clausole (art. 24 del D.Lgs. 138/2024), mentre DORA elenca le clausole minime dei contratti ICT delle entità finanziarie (art. 30 del Reg. (UE) 2022/2554). Per i settori finanziari il decreto rinvia a DORA (art. 3, cc. 14-15).
A decidere se un'impresa è soggetto essenziale o importante è l'ACN, l'Agenzia per la cybersicurezza nazionale: entro il 31 marzo di ogni anno redige l'elenco sulla base delle registrazioni in piattaforma e delle proprie decisioni (art. 7, c. 2 del D.Lgs. 138/2024), poi comunica a ciascun soggetto l'inserimento, la permanenza o l'espunzione (art. 7, c. 3).
Fonti e nota di metodo
Fonte primaria: D.Lgs. 138/2024, recepimento italiano della direttiva (UE) 2022/2555 (NIS2), nel testo in vigore dal 16 ottobre 2024. Riferimenti verificati il 2026-10-23. Articoli citati: 3, 7, 23, 24, 25, 27, 29, 31, 38, 40, 42.
Questo articolo è la lettura tecnica di chi sviluppa e fornisce software, non una consulenza legale: per il caso specifico serve il parere di un professionista. Le determinazioni dell'ACN che fissano termini e specifiche operative non sono citate: vanno verificate su acn.gov.it, come eventuali modifiche successive del decreto su Normattiva.
Ti è arrivato un questionario di sicurezza?
Raccontaci che cosa ti chiede il cliente e su quale software: in un colloquio tecnico vediamo quali evidenze puoi già fornire e che cosa manca. È una lettura tecnica, non un parere legale.
