// TOM'S HARDWARE ITALIA — MONDO
Se il tuo cliente è dentro NIS2, allora ci sei anche tu
L'Agenzia per la Cybersicurezza Nazionale, con la determinazione numero 127437 del 13 aprile 2026, ha imposto a tutti i soggetti NIS2 già registrati, essenziali e importanti, di mappare e dichiarare sul Portale ACN, fra il 15 aprile e il 31 maggio 2026, i propri "fornitori rilevanti": le aziende terze la cui indisponibilità, compromissione o degradazione del servizio può bloccare un processo critico dell'organizzazione. Per ciascun fornitore la dichiarazione richiede denominazione, codice fiscale, paese di stabilimento, categoria di servizio e posizione nella catena di subfornitura. Il testo, che gli studi legali che seguono la materia hanno ripreso per intero, fissa un perimetro di dati puntuale.
La soglia che fa scattare l'obbligo diretto resta quella fissata dal decreto legislativo 138/2024: almeno 50 dipendenti oppure 10 milioni di euro fra fatturato e totale di bilancio, con eccezioni indipendenti dalla dimensione per gli operatori di reti di comunicazione elettronica e i gestori di domini di primo livello.
Fino a un anno fa, capire se un'azienda dovesse preoccuparsi di NIS2 era un esercizio di aritmetica: contare i dipendenti, sommare fatturato e bilancio, controllare il settore. Chi stava sotto quella riga si considerava al sicuro, perché sono le "soglie dimensionali del decreto" a tracciare il confine legale.
La determinazione del 13 aprile lascia intatti il decreto legislativo 138/2024, i 50 dipendenti e i settori coperti: cambia solo il canale d'ingresso, aggiungendo un secondo modo di entrare nel perimetro che passa dal contratto invece che dalla legge.
Un'impresa da dodici dipendenti che fattura un milione di euro può restare fuori dall'obbligo diretto e trovarsi comunque dichiarata "fornitore rilevante" da un cliente NIS2, se la sua indisponibilità comprometterebbe un processo critico di quel cliente. La dichiarazione la fa il cliente sul Portale ACN, tra il 15 aprile e il 31 maggio: il fornitore riceve solo le conseguenze, senza aver presentato nulla in prima persona.
Le altre due determinazioni pubblicate a dicembre 2025, quella sulla registrazione (scadenza 28 febbraio 2026) e quella sulle "misure di sicurezza" di base (scadenza 31 ottobre 2026), riguardano solo chi è già dentro il perimetro per legge. Il canale dei fornitori rilevanti raggiunge invece anche le imprese che da quel perimetro sono sempre rimaste fuori.
Le conseguenze arrivano come clausola nel prossimo contratto o rinnovo. Le imprese dichiarate "fornitore rilevante" si ritrovano a negoziare condizioni che replicano gli "obblighi sulla supply chain" della direttiva: notifica di un incidente entro 24 o 72 ore, diritto di audit per il cliente e per l'ACN, certificazioni come la ISO/IEC 27001 come precondizione per continuare il rapporto.
Queste richieste sono legittime: la direttiva UE 2022/2555, all'articolo 21, impone proprio la "sicurezza della catena di approvvigionamento", e un'azienda NIS2 ha ogni diritto di pretenderla dai propri fornitori critici.
Chi firma quella clausola, però, arriva al tavolo delle trattative senza aver deciso nulla sulla propria dichiarazione a "fornitore rilevante", senza un obbligo legale diretto da citare per negoziare condizioni diverse, e nella maggior parte dei casi senza un budget di compliance già stanziato, perché sulla carta restava fuori dal perimetro.
Le misure di sicurezza di base dell'ACN normano lo stesso problema dal lato opposto, per chi in NIS2 ci sta per legge. Qui la manifestazione arriva un gradino più in basso nella catena, dove il vincolo nasce nel contratto commerciale: la soglia dimensionale protegge solo l'obbligo diretto, il rapporto fra un fornitore e il suo cliente NIS2 segue regole sue.