Gestione fornitori NIS2: la supply chain è un tuo obbligo, non un loro problema
La gestione fornitori NIS2 è l’insieme delle attività con cui un’azienda in perimetro valuta e tiene sotto controllo la sicurezza della propria catena di approvvigionamento, come richiesto dal D.Lgs. 138/2024: censimento, valutazione della criticità, questionari di assessment e monitoraggio nel tempo. Gendata, MSP italiano certificato ISO 27001, la gestisce con NIS2Hub: qui trovi come impostarla, passo per passo.
Cosa chiede la NIS2 sulla catena di approvvigionamento
Tra le misure che il D.Lgs. 138/2024 impone c’è la sicurezza della catena di approvvigionamento: la tua conformità dipende anche da chi ti fornisce servizi e sistemi, perché un attacco che passa da un fornitore colpisce te. Le specifiche di base della Determinazione ACN 379907/2025 — 43 misure in 16 ambiti, pienamente operative entro il 31 ottobre 2026 per i soggetti in elenco dal 2025, entro il 31 luglio 2027 per quelli del 2026 — includono questo ambito, e la logica è chiara: devi sapere chi sono i tuoi fornitori rilevanti, quanto sono critici e quanto sono sicuri. E devi poterlo dimostrare.
Attenzione a un equivoco frequente: “gestione fornitori” non significa chiedere a tutti un’autocertificazione e archiviarla. Significa un processo con quattro fasi distinte — censire, classificare, valutare, monitorare — che si ripete nel tempo. La quarta fase è quella che quasi tutti saltano: un questionario compilato una volta invecchia in fretta, e in caso di controllo un assessment del 2025 mai aggiornato dice poco.
Il processo in 4 fasi
- Censire. Parti dai fornitori NIS (quelli rilevanti per i servizi in perimetro, coerenti con quanto comunicato ad ACN) e aggiungi i fornitori che, pur non rientrando formalmente, toccano dati o sistemi critici. Per ognuno: cosa fornisce, a quali servizi serve, chi è il referente.
- Classificare. Non tutti i fornitori pesano uguale. Assegna una criticità e un tier: il fornitore del servizio cloud su cui gira il gestionale non è il fornitore della cancelleria. La mappa delle dipendenze — quale servizio dipende da quale fornitore — è lo strumento che rende visibile il rischio di concentrazione.
- Valutare. Ai fornitori critici invii un questionario di assessment sulla loro sicurezza. Le risposte producono un punteggio e un rating confrontabile: così le decisioni (mantenere, chiedere miglioramenti, sostituire) si basano su dati, non su impressioni.
- Monitorare. La valutazione si ripete: versioni successive del questionario (V1, V2, V3) mostrano se il fornitore migliora o peggiora. I solleciti servono perché i fornitori, semplicemente, non rispondono da soli.
Un consiglio pratico sui questionari: meglio brevi e mirati che enciclopedici. Un questionario di duecento domande ottiene risposte copiaincollate; uno costruito sulle misure che contano ottiene risposte vere. E per i fornitori strutturati che hanno già certificazioni e documentazione pubblica, valuta canali che evitino il questionario diretto: meno attrito, stessa evidenza.
Come lo fa NIS2Hub
La gestione fornitori è uno dei due pilastri di NIS2Hub — tanto che esiste come modulo dedicato, il Modulo 1 · Base (Fornitori & Servizi con mini-BIA), con cui puoi partire anche senza il percorso documentale completo. L’impianto segue NIS2 e NIST CSF 2.0 (Third Party Risk Management).
Censimento NIS + aggiuntivi
Fornitori NIS rilevanti e fornitori aggiuntivi, con criticità, tier e mappa delle dipendenze dai tuoi servizi. Import ed export CSV.
Questionari con punteggio e rating
Assessment inviati ai fornitori, punteggio calcolato, rating confrontabile e versioni nel tempo (V1/V2/V3) per vedere chi migliora.
Solleciti automatici
I fornitori che non rispondono vengono sollecitati dalla piattaforma: tu non insegui nessuno via email.
Trust Portal
I fornitori validati tramite Trust Portal non richiedono questionario diretto: meno lavoro per te e per loro, stessa tracciabilità.
Dashboard fornitori
Totali, assessment con risposte, in corso, in attesa e top fornitori per punteggio: lo stato della supply chain in una schermata.
Foglio servizi ACN
Esporti il foglio servizi nel formato ufficiale ACN, sempre coerente con il censimento in piattaforma.
Tutti i dettagli nella pagina dedicata: Gestione fornitori in NIS2Hub.
Da dove cominciare, in pratica
Se oggi la tua gestione fornitori è un foglio Excel con nomi e partite IVA, il percorso realistico è questo: recupera il file dei servizi e fornitori che hai già comunicato ad ACN (in NIS2Hub lo carichi direttamente, oppure usi il censimento guidato), classifica i primi dieci fornitori per criticità e manda il primo giro di questionari solo ai critici. In poche settimane hai punteggi, rating e una mappa delle dipendenze: abbastanza per rispondere con serietà a chiunque ti chieda come gestisci la supply chain — direzione, clienti o ACN.
Il passo successivo è la routine: versioni successive dei questionari, solleciti automatici e dashboard controllata a cadenza regolare. È qui che la piattaforma ripaga: il primo censimento lo fai comunque una volta, il monitoraggio invece è per sempre.
Domande frequenti
La NIS2 obbliga a valutare i fornitori?
Sì: la sicurezza della catena di approvvigionamento è tra le misure richieste dal D.Lgs. 138/2024 e dettagliate dalla Determinazione ACN 379907/2025. Devi sapere chi sono i fornitori rilevanti, quanto sono critici, quanto sono sicuri — e poterlo dimostrare con evidenze.
Devo mandare il questionario a tutti i fornitori?
No. Prima si classifica per criticità e tier, poi si valutano i fornitori critici. In NIS2Hub, inoltre, i fornitori validati tramite Trust Portal non richiedono questionario diretto: il lavoro si concentra dove serve.
Cosa succede se un fornitore non risponde al questionario?
NIS2Hub invia solleciti automatici e la dashboard mostra chi è in attesa o in corso. La mancata risposta è essa stessa un’informazione: entra nella valutazione della criticità di quel fornitore.
Come dimostro all’ACN che gestisco la supply chain?
Con evidenze: censimento con criticità e dipendenze, questionari con punteggi e versioni nel tempo, foglio servizi ACN aggiornato. NIS2Hub tiene tutto tracciato e lo include nel dossier pronto per un controllo.
Posso partire solo dalla gestione fornitori, senza tutto il resto?
Sì: il Modulo 1 · Base di NIS2Hub copre Fornitori & Servizi con mini-BIA. Quando vuoi affrontare il percorso documentale completo passi al Modulo 2, senza rifare il lavoro già fatto.
Ho già i fornitori in un file: devo ricominciare da zero?
No. NIS2Hub importa il file dei servizi e fornitori già comunicato ad ACN e supporta l’import CSV: il censimento esistente diventa la base di partenza, non lavoro buttato.
Metti in ordine la supply chain prima che te lo chieda l’ACN
In una demo di 20 minuti ti mostriamo censimento, questionari con rating, Trust Portal e dashboard fornitori di NIS2Hub. Senza impegno.