La maggior parte delle piccole imprese scopre di doversi occupare di NIS2 non da una comunicazione ufficiale, ma da un questionario inviato da un cliente importante. Trenta domande sulla sicurezza informatica, da compilare entro tre settimane, con l'avvertenza che la mancata risposta comporta l'uscita dall'albo fornitori.
È il meccanismo che sorprende più spesso, e vale la pena capirlo prima che arrivi la mail.
Come arriva l'obbligo a chi non è obbligato
La direttiva individua categorie di soggetti — essenziali e importanti — sulla base del settore e della dimensione. Molte piccole imprese non ci rientrano direttamente.
Ma fra gli obblighi dei soggetti che ci rientrano c'è la gestione del rischio della catena di approvvigionamento. In pratica: un'azienda soggetta deve dimostrare di aver valutato la sicurezza dei propri fornitori. E il modo più semplice per farlo è chiedere ai fornitori di dichiarare cosa fanno.
Da qui l'effetto a cascata: l'obbligo formale resta al committente, ma la richiesta arriva a te. E per te non è una questione di sanzioni: è una questione di continuità commerciale.
Le tre situazioni possibili
Sei soggetto diretto. Rientri per settore e dimensione. Qui gli obblighi sono espliciti e includono registrazione, misure di gestione del rischio e notifica degli incidenti entro termini stretti. Serve un percorso strutturato e un confronto con un consulente specializzato.
Sei fornitore di un soggetto. È il caso più diffuso fra le PMI. Nessun obbligo diretto, ma una pressione contrattuale concreta. La domanda non è «devo?», è «voglio continuare a lavorare con quel cliente?».
Non sei nessuno dei due, per ora. Vale la pena guardare comunque, perché i questionari si stanno diffondendo anche fuori dal perimetro formale: le grandi imprese li usano come criterio generale di selezione.
Cosa chiedono davvero quei questionari
Al netto del linguaggio, le domande ricorrenti sono sempre le stesse e si contano sulle dita:
- Esiste un responsabile identificato per la sicurezza informatica?
- Gli accessi ai sistemi sono nominativi e revocati quando qualcuno se ne va?
- È attiva l'autenticazione a più fattori sulla posta e sugli accessi da remoto?
- I backup vengono verificati con prove di ripristino?
- Esiste una procedura scritta per gestire un incidente, e qualcuno l'ha mai provata?
- Il personale riceve formazione sul riconoscimento delle truffe via posta elettronica?
- I fornitori tecnologici sono vincolati contrattualmente su questi temi?
Nessuna di queste domande richiede tecnologia costosa. Richiedono organizzazione, e la maggior parte delle risposte negative si trasforma in positiva in poche settimane.
Da dove partire, in ordine di resa
Primo: l'elenco degli accessi. Chi ha le credenziali di cosa. È l'esercizio che produce sempre la scoperta più imbarazzante — l'account di qualcuno che non lavora più qui da due anni — e costa mezza giornata.
Secondo: l'autenticazione a più fattori sulla posta. È la singola misura con il miglior rapporto fra costo e rischio evitato. Si attiva in un pomeriggio e blocca la categoria di attacco più comune.
Terzo: la prova di ripristino del backup. Un backup mai provato è una dichiarazione, non una misura. La procedura in quattro passi è descritta in il tuo backup probabilmente non funziona.
Quarto: il piano di risposta, scritto su una pagina. Chi si chiama, in che ordine, cosa si stacca, chi avvisa i clienti. Non serve un manuale: serve un foglio che qualcuno trovi alle sette di sera.
Quinto: mezz'ora di formazione a tutti. Riconoscere una mail sospetta è la competenza che evita più incidenti di qualunque strumento.
Il vantaggio commerciale che nessuno considera
Chi risponde bene a quel questionario prima degli altri ottiene un effetto collaterale interessante: diventa il fornitore facile. In una gara fra due imprese equivalenti, quella che ha già la documentazione pronta risparmia settimane all'ufficio acquisti del cliente, e gli uffici acquisti se lo ricordano.
Alcune imprese che abbiamo seguito hanno iniziato a mandare la propria scheda di conformità prima che gliela chiedessero. Costa niente e cambia la conversazione.
Come lo affrontiamo
Con una verifica dello scostamento: dove siete oggi rispetto a quello che vi verrà chiesto, in ordine di gravità. Ne esce un elenco di interventi con tempi e costi, e quasi sempre i primi tre si chiudono entro un mese.
La sicurezza e la continuità sono una delle sei leve del nostro percorso. Se ti è appena arrivato un questionario e non sai da dove cominciare, scrivici indicando la scadenza: quelle richieste le guardiamo in giornata.
Questo articolo descrive principi generali e non sostituisce il parere di un consulente specializzato sulla tua posizione specifica.
