25/09/2026
È una domanda che molte aziende non si pongono, perché danno per scontato che la normativa riguardi solo chi rientra direttamente nei settori obbligati: energia, sanità, trasporti, infrastrutture digitali, e pochi altri comparti individuati dal decreto.
Ma la NIS2 non si limita a regolare chi è formalmente soggetto alla direttiva. Tra le misure di gestione del rischio richieste alle organizzazioni obbligate c'è anche la sicurezza dell'intera catena di approvvigionamento, con un'attenzione specifica ai rapporti con fornitori diretti e prestatori di servizi. Questo significa che un'azienda soggetta alla NIS2 deve valutare non solo le proprie difese, ma anche le vulnerabilità di chi le fornisce prodotti e servizi.
Per chi si trova in questa posizione, fornitore o prestatore di servizi di un'organizzazione soggetta, la conseguenza pratica è concreta: richieste di documentazione, requisiti di sicurezza specifici da rispettare, verifiche periodiche sulle proprie pratiche di cybersecurity. Non un obbligo diretto della normativa, ma una condizione che arriva comunque, attraverso il rapporto commerciale con chi la normativa la applica.
Vale quindi la pena farsi questa domanda prima che ve la faccia un cliente: siamo pronti a rispondere alle sue richieste di sicurezza?
Essere fuori dal perimetro NIS2 non significa essere fuori dalla sua filiera ➡️ Seguici per maggiori informazioni
