Guida NIS2 · 7 min
I tuoi fornitori usano l'IA? Il rischio fornitori di NIS2 incontra il regolamento IA dell'UE
Con NIS2 sei responsabile del rischio cyber portato dai tuoi fornitori (articolo 21(2)(d)). Sempre più spesso quel rischio include l'IA: fornitori che integrano l'IA nei servizi da cui dipendi, e i loro fornitori fanno lo stesso. Il regolamento IA dell'UE, ora in applicazione graduale, aggiunge obblighi per le organizzazioni che usano sistemi di IA o vi si affidano, compresi quelli forniti da terzi. La maggior parte delle valutazioni dei fornitori non chiede nulla sull'IA. Questa guida spiega dove l'IA dei fornitori e dell'ennesima parte crea rischio ai sensi di NIS2 e del regolamento IA, cosa valutare e come mantenere la visibilità.
Controlla il tuo dominio ora
Scopri cosa è pubblicamente visibile sulla sicurezza della tua organizzazione, senza registrazione.
Questa anteprima immediata verifica:
- HTTPS raggiungibile
- HSTS abilitato
- Reindirizzamento HTTP → HTTPS
- SPF configurato
- DMARC applicato
- Posta (MX) configurata
Il report completo aggiunge ransomware, dark web, certificati, dati aziendali e oltre 100 altri controlli.
Punti chiave
- • NIS2 rende tua la responsabilità del rischio cyber dei fornitori; l'IA integrata dai fornitori ne fa ora parte.
- • Il regolamento IA aggiunge obblighi quando ti affidi all'IA di terzi, compresi i sistemi ad alto rischio.
- • La maggior parte dei questionari ignora l'IA; l'IA dell'ennesima parte (i fornitori dei tuoi fornitori) è il punto cieco più difficile.
Da dove entra l'IA nella tua catena di fornitura
L'IA ti raggiunge tramite i fornitori in tre modi: un fornitore usa l'IA in un servizio che consumi; un fornitore tratta i tuoi dati con l'IA (addestramento, inferenza, strumenti di supporto); e i fornitori del tuo fornitore fanno lo stesso (ennesima parte). Ognuno amplia la superficie di attacco (esposizione del modello e dei dati, prompt injection, nuove integrazioni) e l'esposizione normativa. L'articolo 21(2)(d) di NIS2 ti rende responsabile della sicurezza di queste relazioni, e il regolamento IA aggiunge doveri di trasparenza e gestione del rischio quando usi sistemi di IA o ne dipendi, compresi quelli di terzi.
Fonti ufficiali: Direttiva NIS2 su EUR-Lex — articolo 21(2)(d); oltre al regolamento IA dell'UE (regolamento (UE) 2024/1689) per gli obblighi specifici dell'IA.
Cosa valutare sull'IA dei fornitori
Aggiungi questi punti alla valutazione dei fornitori. Corrispondono alle misure sulla catena di fornitura di NIS2 e ai doveri del regolamento IA per chi si affida all'IA.
Dove l'IA tocca i tuoi dati
Chiedi quali parti del servizio usano l'IA, se i tuoi dati servono per l'addestramento o l'inferenza, e dove avviene tale trattamento. Questo determina sia la tua esposizione NIS2 sia la tua posizione rispetto al regolamento IA e al GDPR.
Se l'IA è ad alto rischio secondo il regolamento IA
Se l'IA di un fornitore rientra in una categoria ad alto rischio del regolamento IA, erediti aspettative di trasparenza, sorveglianza umana e registrazione quando ne dipendi. Conferma la classificazione e il lavoro di conformità del fornitore.
IA dell'ennesima parte (i fornitori del tuo fornitore)
I fornitori rivendono o integrano sempre più l'IA di terzi (modelli fondativi, API di IA). Richiedi la divulgazione di questi sub-fornitori, così che un'interruzione del modello, un incidente sui dati o un cambio di policy non ti colgano di sorpresa.
Controlli di sicurezza specifici dell'IA
Protezione da prompt injection e fughe di dati, controllo degli accessi agli endpoint del modello, registrazione e sorveglianza umana delle decisioni automatizzate. È l'estensione all'era dell'IA della base dell'articolo 21(2).
Notifica degli incidenti IA
Estendi la clausola di notifica del contratto ai guasti specifici dell'IA (fuga di dati tramite un modello, output dannoso o manipolato), così che un incidente IA di un fornitore ti raggiunga in tempo per la tua notifica.
Scopri il tuo punteggio reale e quello dei tuoi fornitori
Gratis · senza carta di credito · senza limiti di tempo
Come mantenere la visibilità mentre l'IA si diffonde
L'adozione dell'IA nella tua catena cambia più in fretta di un questionario annuale: un fornitore aggiunge una funzione di IA, cambia fornitore di modello o compare un nuovo sub-responsabile. Abbina il questionario a un monitoraggio esterno continuo e a un inventario vivo della quarta parte, così che le nuove dipendenze dall'IA e i sub-fornitori dietro di esse emergano non appena compaiono, mappati agli obblighi NIS2 e del regolamento IA che attivano, invece che al prossimo ciclo di revisione.
Errori comuni
- ✕Un questionario fornitori che non chiede mai dell'IA.
- ✕Valutare il fornitore diretto ma ignorare il modello di terzi o l'API di IA dietro il suo servizio.
- ✕Trattare l'IA solo come tema di innovazione, non come sicurezza della catena e conformità al regolamento IA.
- ✕Nessun obbligo contrattuale di dichiarare l'uso dell'IA o di notificare gli incidenti specifici dell'IA.
Domande frequenti
NIS2 menziona l'IA in modo specifico?⌄
NIS2 non evidenzia l'IA a parte, ma l'articolo 21(2)(d) ti rende responsabile della sicurezza delle relazioni con i fornitori, e l'articolo 21(2) richiede misure di gestione del rischio. Quando il servizio di un fornitore dipende dall'IA, quell'IA fa parte del rischio che devi gestire. Il regolamento IA aggiunge gli obblighi specifici dell'IA.
Compriamo solo software standard, non «IA». Ci riguarda?⌄
Sempre più sì. Gli strumenti standard oggi integrano funzioni di IA e API di IA di terzi, spesso senza un'etichetta evidente. Il passo pratico è chiedere ai fornitori dove si usa l'IA e da quali sub-fornitori, invece di presumere che non ci sia.
Cos'è il rischio IA dell'ennesima parte?⌄
È l'IA introdotta non dal tuo fornitore diretto ma dai suoi fornitori (per esempio un modello fondativo o un'API di IA che rivendono o integrano). È la più difficile da vedere e compare di rado nei framework di valutazione, eppure un guasto lì raggiunge comunque il tuo servizio.
Guarda come il rischio fornitori e IA si mappa su NIS2
Un report fornitore di esempio (rilievi, mappatura NIS2 ed evidenze) in due minuti.
Gratis · senza carta di credito · senza limiti di tempo
Piano gratuito: il questionario NIS2 di 41 domande per un massimo di 10 fornitori, i controlli pubblici del tuo dominio e il monitoraggio DMARC di un dominio.
Guide correlate
I requisiti tecnici vincolanti di NIS2 per i fornitori cloud, MSP e DNS (regolamento 2024/2690)
Un gruppo di fornitori ha requisiti tecnici vincolanti ed elencati che si applicano direttamente in tutti i 27 Stati membri, senza alcuna legge nazionale da attendere. Quali undici tipi di fornitore sono coperti, i tredici ambiti di requisiti e quali sei puoi verificare dall'esterno.
Linee guida ENISA sulla cybersicurezza degli appalti ospedalieri: come valutare i tuoi fornitori
Le linee guida ENISA sugli appalti di luglio 2026 rendono la cybersicurezza dei fornitori parte degli acquisti sanitari. Tradotte in passi concreti: specificare i requisiti, valutare i candidati dall'esterno, contrattualizzare, monitorare e documentare, collegate all'obbligo di supply chain NIS2 art. 21(2)(d).
Come conformarsi a NIS2: una roadmap passo dopo passo
I passi verso la conformità NIS2 in ordine: confermare l'ambito, registrarsi, responsabilità della dirigenza (art. 20), le misure dell'art. 21(2), sicurezza della supply chain, notifica degli incidenti (art. 23) e garanzia continua e dimostrata.
Chi rientra nell'ambito di NIS2? Soggetti essenziali e importanti, settori e soglie dimensionali
Stabilisci se NIS2 ti riguarda: i due livelli, i settori degli allegati I/II, le soglie dimensionali, le eccezioni indipendenti dalla dimensione e come la supply chain ti coinvolge anche senza designazione.
NIS2 per i fornitori: non sei designato, ma i tuoi clienti sì
La maggior parte delle aziende non viene mai designata ai sensi di NIS2, ma molte devono comunque conformarsi. Come l'obbligo sulla catena di approvvigionamento di un cliente soggetto (articolo 21, paragrafo 2, lettera d) ricade su di te, cosa chiederà e come rispondere in modo credibile.
NIS2 e il requisito della supply chain: cosa significa nella pratica
NIS2 obbliga i soggetti essenziali e importanti a valutare i rischi informatici della loro supply chain. Classificazione dei fornitori, rischio di quarta parte, notifica Art. 23 e cosa cercano i revisori.
Come avviene una violazione nel 2026: la tua superficie esterna e la tua supply chain
La catena di attacco del 2026 passo per passo — credenziali rubate, dispositivi edge sfruttati, spoofing delle email — sia sulla tua superficie esterna sia su quella dei fornitori, e dove norppa.io spezza la catena.
Valutazione del rischio informatico dei fornitori: cosa verifica il monitoraggio NIS2 automatizzato
Tutte le categorie di controllo spiegate: ransomware, fughe dark web, TLS/DNSSEC, sicurezza dei cookie, CVE/EPSS, sanzioni, blocklist MX e SAQ. Ciclo di vita dei risultati e mappatura degli articoli NIS2.
NIS2 Art. 21(2): checklist di sicurezza per fornitori
Checklist per i team di approvvigionamento e sicurezza: cosa chiedere, quali prove raccogliere e come rispondere quando un fornitore non soddisfa i requisiti. Include documenti di prova suggeriti.
Questionario fornitori NIS2 (SAQ): cosa chiedere, come valutarlo e un modello gratuito
Cosa chiedere ai fornitori ai sensi dell'art. 21(2)(d), come valutare le risposte e gestire le lacune, perché l'autodichiarazione va verificata, e un modello gratuito.
Notifica degli incidenti NIS2: le scadenze di 24 e 72 ore spiegate
Cosa è un incidente significativo, il calendario dell'articolo 23 (preallarme a 24 h, notifica a 72 h, relazione finale a un mese) e quando l'incidente di un fornitore diventa il tuo obbligo.
NIS2 e la responsabilità della dirigenza: cosa devono sapere consiglio e vertici
Cosa si aspetta NIS2 dall'organo di gestione: doveri di approvazione e vigilanza, responsabilità personale (art. 20), formazione, KPI di reporting al consiglio e sanzioni dell'art. 34.
ISO 27001 e NIS2: cosa copre già il tuo SGSI, e le lacune che restano
Se hai la ISO 27001: cosa si riporta su NIS2 e cosa no (notifica di legge, responsabilità della dirigenza, registrazione e assicurazione continua della catena di fornitura) e come colmare la lacuna.
Sanzioni e multe NIS2: quanto, chi è responsabile e come evitarle
Cosa sono le sanzioni NIS2: i massimali dell'articolo 34 (10 M€ / 2 % per i soggetti essenziali, 7 M€ / 1,4 % per quelli importanti), la responsabilità personale della dirigenza (art. 20, art. 32), le misure non pecuniarie e come evitarle.
NIS2 vs DORA: differenze, sovrapposizioni e quale si applica a te
In cosa differiscono e si sovrappongono i due regimi UE, perché DORA è lex specialis per i soggetti finanziari, quale si applica a te, e cosa significano entrambi per il rischio terze parti.
GDPR vs NIS2: sovrapposizioni, differenze e quando un incidente attiva entrambi
In cosa differiscono e si sovrappongono GDPR e NIS2, quando un incidente attiva entrambi (GDPR art. 33 72 h all'autorità di controllo vs NIS2 art. 23 24 h/72 h/un mese al CSIRT), la cooperazione dell'art. 35 e il divieto di doppia sanzione, e cosa significano entrambi per la due diligence sui fornitori.
Il Cyber Resilience Act dell'UE (CRA): ambito, calendario e cosa significa per la tua supply chain
Cosa richiede il CRA, le sue date scaglionate (in vigore 2024, notifica set 2026, piena conformità dic 2027), chi rientra nell'ambito e perché il SaaS puro spesso no, come integra NIS2 e cosa significa per gli acquisti e la due diligence sui fornitori.
Il regolamento UE sull'IA: livelli di rischio, calendario e cosa devono fare i deployer (articolo 26)
Cosa richiede il regolamento UE sull'IA: i livelli di rischio, le date scaglionate (in vigore 2024, vietato feb 2025, GPAI ago 2025, alto rischio ago 2026), gli obblighi del deployer dell'art. 26, come si combina con NIS2 e il GDPR, e cosa significa per l'acquisto di IA.
Stato di recepimento di NIS2: in quali Paesi UE è in vigore
Quali dei 27 Stati membri UE hanno recepito NIS2 nella legge nazionale e quali la stanno ancora completando, e perché i divari raggiungono comunque la tua catena di fornitura.
Clausole contrattuali per i fornitori NIS2: cosa pretendere dai tuoi fornitori
Le clausole che rendono azionabile l'obbligo sulla catena di fornitura di NIS2: base di sicurezza, finestra di notifica, diritti di prova e audit, trasferimento ai subappaltatori e verifica continua.
La tua postura di sicurezza esterna sotto NIS2: cosa vedono fornitori e clienti
I segnali pubblicamente visibili che i clienti valutano ai sensi dell'art. 21(2)(d) di NIS2: falsificabilità dell'e-mail (SPF/DMARC), igiene dei certificati, sistemi esposti a internet e credenziali trapelate, perché ciascuno conta e come verificarli e correggerli.
Impersonificazione dei fornitori e frode del CEO (BEC): spoofing dell'e-mail, DMARC e NIS2
Uno degli attacchi alla catena di fornitura più comuni non richiede alcuna violazione: un'e-mail falsificata che devia un pagamento o ruba dati. Come funzionano il BEC e l'impersonificazione dei fornitori, le impostazioni SPF, DKIM e DMARC che li fermano, e come si inserisce nell'art. 21(2)(d) di NIS2.
Ultima revisione: 19 giugno 2026
Questa guida fornisce informazioni generali sul diritto dell'UE, non consulenza legale. NIS2 entra in vigore tramite la legge di recepimento nazionale di ciascuno Stato membro dell'UE, che può differire nei dettagli. Verifica gli obblighi che ti riguardano con la tua autorità competente o un consulente legale.