Guida alla catena di fornitura · 9 min
I requisiti tecnici vincolanti di NIS2 per i fornitori cloud, MSP e DNS (regolamento 2024/2690)
NIS2 è in gran parte una direttiva che ogni paese recepisce nella propria legge, ed è per questo che molte discussioni con i fornitori finiscono ancora con «aspettiamo la legge nazionale». Per un gruppo di fornitori non è così. Il regolamento di esecuzione (UE) 2024/2690 della Commissione si applica direttamente in tutti i 27 Stati membri da ottobre 2024 e sostituisce il linguaggio generale dell'articolo 21 con tredici sezioni di requisiti tecnici precisi. Se acquisti servizi cloud, gestiti, DNS, di data center o fiduciari, il tuo fornitore ha già questi obblighi e puoi chiedere prove già oggi.
Controlla il tuo dominio ora
Scopri cosa è pubblicamente visibile sulla sicurezza della tua organizzazione, senza registrazione.
Questa anteprima immediata verifica:
- HTTPS raggiungibile
- HSTS abilitato
- Reindirizzamento HTTP → HTTPS
- SPF configurato
- DMARC applicato
- Posta (MX) configurata
Il report completo aggiunge ransomware, dark web, certificati, dati aziendali e oltre 100 altri controlli.
In sintesi
- • Il regolamento si applica direttamente in ogni Stato membro. Non c'è alcuna legge nazionale da attendere.
- • Nomina undici tipi di fornitore, tra cui i fornitori di servizi gestiti e di servizi di sicurezza gestiti.
- • Sei dei tredici ambiti di requisiti lasciano tracce verificabili dall'esterno. Gli altri sette vanno chiesti.
Quali fornitori riguarda
Il regolamento non si applica a ogni soggetto rientrante in NIS2. Si applica a undici tipi di fornitore in tre gruppi, e l'elenco merita una lettura attenta, perché due dei gruppi descrivono fornitori da cui ormai dipende quasi ogni azienda.
Infrastruttura digitale
Fornitori di servizi DNS, registri dei nomi di dominio di primo livello, servizi di cloud computing, servizi di data center, reti di distribuzione dei contenuti, prestatori di servizi fiduciari
Gestione dei servizi TIC
Fornitori di servizi gestiti, fornitori di servizi di sicurezza gestiti
Fornitori di servizi digitali
Mercati online, motori di ricerca online, piattaforme di social network
Fonte ufficiale: Regolamento di esecuzione (UE) 2024/2690 della Commissione — adottato il 17 ottobre 2024, direttamente applicabile in tutti gli Stati membri. Verificato il 13 agosto 2026.
Perché questo testo è diverso dal resto di NIS2
NIS2 è una direttiva: fissa obiettivi, e ogni Stato membro li trasforma in legge nazionale con i propri tempi. È la ragione onesta per cui i requisiti verso i fornitori si negoziano ancora invece di essere invocati. Un regolamento di esecuzione funziona al contrario. Si applica così come è scritto, in ogni Stato membro, senza alcun passaggio nazionale intermedio. Per questi undici tipi di fornitore non c'è quindi alcun recepimento da attendere né differenze nazionali da discutere, e i requisiti sono elencati anziché descritti come principi.
Scopri il tuo punteggio reale e quello dei tuoi fornitori
Gratis · senza carta di credito · senza limiti di tempo
I tredici ambiti di requisiti
L'allegato stabilisce tredici ambiti. Letti dalla parte di chi acquista, si dividono in tre tipi: quelli che lasciano tracce sull'internet pubblica, quelli che ne lasciano solo in parte e quelli che esistono soltanto all'interno dell'organizzazione del fornitore.
- 1Politica di sicurezza dei sistemi informatici e di reteVa chiesto
- 2Politica di gestione del rischioVa chiesto
- 3Gestione degli incidentiVa chiesto
- 4Continuità operativa e gestione delle crisiVa chiesto
- 5Sicurezza della catena di fornituraParzialmente visibile
- 6Sicurezza in acquisizione, sviluppo e manutenzioneVisibile dall'esterno
- 7Valutazione dell'efficacia delle misureParzialmente visibile
- 8Igiene informatica di base e formazione sulla sicurezzaVa chiesto
- 9CrittografiaVisibile dall'esterno
- 10Sicurezza delle risorse umaneVa chiesto
- 11Controllo degli accessiParzialmente visibile
- 12Gestione degli assetVisibile dall'esterno
- 13Sicurezza ambientale e fisicaVa chiesto
Cosa puoi verificare e cosa no
Qui conviene essere precisi, perché una valutazione dei fornitori che sostiene di vedere più di quanto vede vale meno di una che ammette i propri limiti. Sette dei tredici ambiti non sono osservabili dall'esterno.
Visibile dall'esterno
Tre ambiti lasciano tracce dirette. Manutenzione e aggiornamenti emergono come vulnerabilità note nei servizi esposti. La crittografia emerge nella validità dei certificati e nella robustezza della configurazione TLS. La gestione degli asset emerge nei sistemi esposti su internet che il fornitore potrebbe aver dimenticato, inclusi sottodomini e servizi che nessuno intendeva lasciare aperti.
Parzialmente visibile
Altri tre sono parzialmente visibili. La sicurezza della catena di fornitura si può campionare osservando da quali terze parti dipendono i sistemi stessi del fornitore. Il controllo degli accessi si può campionare dalle interfacce di amministrazione esposte e dalle credenziali trapelate, anche se l'autenticazione a più fattori in sé non è osservabile. L'efficacia delle misure si legge in parte nel fatto che i difetti visibili dall'esterno vengano corretti e restino corretti.
Va chiesto
Sette non sono visibili affatto: politica, gestione del rischio, gestione degli incidenti, continuità, formazione, risorse umane e sicurezza fisica. Nessun controllo esterno potrà mai attestarli, e un questionario ai fornitori è il modo consueto di coprirli. Proprio per questo i due strumenti vanno insieme e non sono alternativi.
Quando un incidente diventa notificabile
Il regolamento precisa anche quando un incidente è considerato significativo, cioè da quando il fornitore deve informarne la propria autorità. Tra i criteri generali rientrano una perdita finanziaria superiore a 500 000 euro o al cinque per cento del fatturato annuo, l'esfiltrazione di segreti commerciali, oppure il decesso o un danno considerevole alla salute. Alcuni tipi di fornitore hanno soglie proprie: per i fornitori DNS e i registri dei domini di primo livello, ad esempio, una disponibilità inferiore al 99,9 per cento, risposte errate o la compromissione dei dati di registrazione. Per chi acquista questo ha un'utilità concreta: indica cosa il tuo fornitore è tenuto a segnalare a un'autorità, il che è una soglia minima ragionevole per ciò che dovresti aspettarti venga segnalato a te.
Cosa farne
Se acquisti questi servizi
Individua quali dei tuoi fornitori rientrano negli undici tipi. Nella maggior parte delle aziende sono la piattaforma cloud, il fornitore di servizi gestiti e il registrar dei domini, spesso anche un data center o una rete di distribuzione dei contenuti. Dividi poi la valutazione come si divide il regolamento stesso: verifica dall'esterno in modo continuo i sei ambiti osservabili e chiedi per iscritto dei sette interni. Invoca il regolamento anziché una preferenza, e conserva sia le risposte sia le prove esterne, perché una contraddizione tra ciò che è dichiarato e ciò che è misurato è essa stessa un riscontro.
Se sei tu stesso uno di questi fornitori
Gli obblighi ti riguardano direttamente e lo fanno dal 2024. Il primo passo pratico è guardarti come farà un cliente: cosa è esposto, cosa è scaduto, quali sistemi non ricordi più di possedere. I tuoi clienti cominciano a chiedere prove anziché rassicurazioni, ed è proprio negli ambiti che possono verificare senza chiedere che una lacuna risulta più imbarazzante.
Domande frequenti
Questo regolamento si applica alla mia azienda?⌄
Solo se la tua azienda rientra in uno degli undici tipi elencati: DNS, registro di domini di primo livello, cloud, data center, rete di distribuzione dei contenuti, servizi fiduciari, fornitore di servizi gestiti o di servizi di sicurezza gestiti, mercato online, motore di ricerca o piattaforma sociale. Se non è così, il regolamento ti riguarda comunque come acquirente, perché definisce cosa puoi attenderti dai fornitori di quei servizi.
Che rapporto ha con l'articolo 21 di NIS2?⌄
L'articolo 21 elenca misure di gestione del rischio in termini generali per tutti i soggetti rientranti. Questo regolamento le rende concrete per gli undici tipi di fornitore che nomina, in tredici ambiti elencati. Dove si applica è lo strumento più preciso, e si applica senza recepimento nazionale.
Posso verificare dall'esterno la conformità di un fornitore?⌄
In parte, ed è bene precisare quanto. Tre ambiti lasciano tracce esterne dirette, altri tre le lasciano parziali e sette esistono solo all'interno dell'organizzazione. I controlli esterni attestano quindi circa la metà e mai il resto, ed è per questo che un questionario su governance, formazione e continuità resta necessario accanto a essi.
Guarda cosa mostrano i tuoi fornitori dall'esterno
Verifica in continuo la metà osservabile e chiedi del resto con un questionario strutturato, con ogni riscontro collegato all'articolo che lo motiva.
Gratis · senza carta di credito · senza limiti di tempo
Piano gratuito: il questionario NIS2 di 39 domande per un massimo di 10 fornitori, i controlli pubblici del tuo dominio e il monitoraggio DMARC di un dominio.
Guide correlate
Linee guida ENISA sulla cybersicurezza degli appalti ospedalieri: come valutare i tuoi fornitori
Le linee guida ENISA sugli appalti di luglio 2026 rendono la cybersicurezza dei fornitori parte degli acquisti sanitari. Tradotte in passi concreti: specificare i requisiti, valutare i candidati dall'esterno, contrattualizzare, monitorare e documentare, collegate all'obbligo di supply chain NIS2 art. 21(2)(d).
Come conformarsi a NIS2: una roadmap passo dopo passo
I passi verso la conformità NIS2 in ordine: confermare l'ambito, registrarsi, responsabilità della dirigenza (art. 20), le misure dell'art. 21(2), sicurezza della supply chain, notifica degli incidenti (art. 23) e garanzia continua e dimostrata.
Chi rientra nell'ambito di NIS2? Soggetti essenziali e importanti, settori e soglie dimensionali
Stabilite se NIS2 vi riguarda: i due livelli, i settori degli allegati I/II, le soglie dimensionali, le eccezioni indipendenti dalla dimensione e come la supply chain vi coinvolge anche senza designazione.
NIS2 per i fornitori: non sei designato, ma i tuoi clienti sì
La maggior parte delle aziende non viene mai designata ai sensi di NIS2, ma molte devono comunque conformarsi. Come l'obbligo sulla catena di approvvigionamento di un cliente soggetto (articolo 21, paragrafo 2, lettera d) ricade su di voi, cosa chiederà e come rispondere in modo credibile.
NIS2 e il requisito della supply chain: cosa significa nella pratica
NIS2 obbliga i soggetti essenziali e importanti a valutare i rischi informatici della loro supply chain. Classificazione dei fornitori, rischio di quarta parte, notifica Art. 23 e cosa cercano i revisori.
Come avviene una violazione nel 2026: la tua superficie esterna e la tua supply chain
La catena di attacco del 2026 passo per passo — credenziali rubate, dispositivi edge sfruttati, spoofing delle email — sia sulla tua superficie esterna sia su quella dei fornitori, e dove norppa.io spezza la catena.
Valutazione del rischio informatico dei fornitori: cosa verifica il monitoraggio NIS2 automatizzato
Tutte le categorie di controllo spiegate: ransomware, fughe dark web, TLS/DNSSEC, sicurezza dei cookie, CVE/EPSS, sanzioni, blacklist MX e SAQ. Ciclo di vita dei risultati e mappatura degli articoli NIS2.
NIS2 Art. 21(2): checklist di sicurezza per fornitori
Checklist per i team di approvvigionamento e sicurezza: cosa chiedere, quali prove raccogliere e come rispondere quando un fornitore non soddisfa i requisiti. Include documenti di prova suggeriti.
Questionario fornitori NIS2 (SAQ): cosa chiedere, come valutarlo e un modello gratuito
Cosa chiedere ai fornitori ai sensi dell'art. 21(2)(d), come valutare le risposte e gestire le lacune, perché l'autodichiarazione va verificata, e un modello gratuito.
Notifica degli incidenti NIS2: le scadenze di 24 e 72 ore spiegate
Cosa è un incidente significativo, il calendario dell'articolo 23 (preallarme a 24 h, notifica a 72 h, relazione finale a un mese) e quando l'incidente di un fornitore diventa il tuo obbligo.
NIS2 e la responsabilità della dirigenza: cosa devono sapere consiglio e vertici
Cosa si aspetta NIS2 dall'organo di gestione: doveri di approvazione e vigilanza, responsabilità personale (art. 20), formazione, KPI di reporting al consiglio e sanzioni dell'art. 34.
ISO 27001 e NIS2: cosa copre già il tuo SGSI, e le lacune che restano
Se avete la ISO 27001: cosa si riporta su NIS2 e cosa no (notifica di legge, responsabilità della dirigenza, registrazione e assicurazione continua) e come colmare la lacuna.
Sanzioni e multe NIS2: quanto, chi è responsabile e come evitarle
Cosa sono le sanzioni NIS2: i massimali dell'articolo 34 (10 M€ / 2 % per i soggetti essenziali, 7 M€ / 1,4 % per quelli importanti), la responsabilità personale della dirigenza (art. 20, art. 32), le misure non pecuniarie e come evitarle.
NIS2 vs DORA: differenze, sovrapposizioni e quale si applica a te
In cosa differiscono e si sovrappongono i due regimi UE, perché DORA è lex specialis per i soggetti finanziari, quale si applica a te, e cosa significano entrambi per il rischio terze parti.
GDPR vs NIS2: sovrapposizioni, differenze e quando un incidente attiva entrambi
In cosa differiscono e si sovrappongono GDPR e NIS2, quando un incidente attiva entrambi (GDPR art. 33 72 h all'autorità di controllo vs NIS2 art. 23 24 h/72 h/un mese al CSIRT), la cooperazione dell'art. 35 e il divieto di doppia sanzione, e cosa significano entrambi per la due diligence sui fornitori.
Il Cyber Resilience Act dell'UE (CRA): ambito, calendario e cosa significa per la tua supply chain
Cosa richiede il CRA, le sue date scaglionate (in vigore 2024, notifica set 2026, piena conformità dic 2027), chi rientra nell'ambito e perché il SaaS puro spesso no, come integra NIS2 e cosa significa per gli acquisti e la due diligence sui fornitori.
Il regolamento UE sull'IA: livelli di rischio, calendario e cosa devono fare i deployer (articolo 26)
Cosa richiede il regolamento UE sull'IA: i livelli di rischio, le date scaglionate (in vigore 2024, vietato feb 2025, GPAI ago 2025, alto rischio ago 2026), gli obblighi del deployer dell'art. 26, come si combina con NIS2 e il GDPR, e cosa significa per l'acquisto di IA.
Stato di recepimento di NIS2: in quali Paesi UE è in vigore
Quali dei 27 Stati membri UE hanno recepito NIS2 nella legge nazionale e quali la stanno ancora completando, e perché i divari raggiungono comunque la tua catena di fornitura.
Clausole contrattuali per i fornitori NIS2: cosa pretendere dai tuoi fornitori
Le clausole che rendono azionabile l'obbligo sulla catena di fornitura di NIS2: base di sicurezza, finestra di notifica, diritti di prova e audit, trasferimento ai subappaltatori e verifica continua.
La tua postura di sicurezza esterna sotto NIS2: cosa vedono fornitori e clienti
I segnali pubblicamente visibili che i clienti valutano ai sensi dell'art. 21(2)(d) di NIS2: falsificabilità dell'e-mail (SPF/DMARC), igiene dei certificati, sistemi esposti a internet e credenziali trapelate, perché ciascuno conta e come verificarli e correggerli.
I tuoi fornitori usano l'IA? Il rischio fornitori di NIS2 incontra il regolamento IA dell'UE
I fornitori integrano sempre più l'IA nei servizi da cui dipendi, e così i loro fornitori. Dove l'IA dei fornitori e dell'ennesima parte crea rischio ai sensi dell'art. 21(2)(d) di NIS2 e del regolamento IA, cosa valutare e come mantenere la visibilità.
Impersonificazione dei fornitori e frode del CEO (BEC): spoofing dell'e-mail, DMARC e NIS2
Uno degli attacchi alla catena di fornitura più comuni non richiede alcuna violazione: un'e-mail falsificata che devia un pagamento o ruba dati. Come funzionano il BEC e l'impersonificazione dei fornitori, le impostazioni SPF, DKIM e DMARC che li fermano, e come si inserisce nell'art. 21(2)(d) di NIS2.
Ultima revisione: 19 giugno 2026
Questa guida fornisce informazioni generali sul diritto dell'UE, non consulenza legale. NIS2 entra in vigore tramite la legge di recepimento nazionale di ciascuno Stato membro dell'UE, che può differire nei dettagli. Verifica gli obblighi che ti riguardano con la tua autorità competente o un consulente legale.