NIS2 e fornitori di prodotti: che cosa chiedono i clienti
La NIS2 (direttiva (UE) 2022/2555, in Italia D.Lgs. 138/2024) non riguarda i prodotti ma l'organizzazione di chi opera in settori critici: energia, trasporti, acqua, sanità, manifattura di alcuni comparti, servizi digitali e altri. Questi soggetti devono gestire anche la sicurezza della loro catena di fornitura. Per questo, se vendi prodotti con software a un'azienda soggetta alla NIS2, prima o poi ti arriverà una richiesta: un questionario, una clausola contrattuale, la SBOM.
Aggiornato al 14 ottobre 2026 · Questa pagina ha scopo informativo e non costituisce consulenza legale.
Cyber Resilience Act e NIS2 si alimentano a vicenda
| Cyber Resilience Act | NIS2 | |
|---|---|---|
| Che cosa regola | Il prodotto con elementi digitali, per tutto il suo ciclo di vita | L'organizzazione e i processi di sicurezza di chi opera in settori critici |
| A chi si rivolge | Fabbricanti, importatori, distributori | Soggetti «essenziali» e «importanti» individuati dall'ACN |
| Autorità in Italia | ACN (vigilanza del mercato, in via di attuazione) | ACN |
| Dove si incontrano | Nella catena di fornitura: il soggetto NIS2 deve valutare la sicurezza di ciò che compra; il fabbricante CRA deve poter dimostrare come gestisce componenti e vulnerabilità | |
Riferimenti: direttiva (UE) 2022/2555, articolo 21 (misure di gestione dei rischi, compresa la sicurezza della catena di fornitura); regolamento (UE) 2024/2847.
Le richieste, in concreto
- Un questionario sulla sicurezza del prodotto e della tua azienda: chi gestisce le vulnerabilità, come rilasci gli aggiornamenti, per quanto tempo garantisci l'assistenza.
- La SBOM dei prodotti forniti, in un formato leggibile da un sistema automatico, e il suo aggiornamento a ogni rilascio.
- Un contatto per le vulnerabilità e l'impegno a comunicare tempestivamente le falle che toccano i prodotti forniti.
- Clausole contrattuali su aggiornamenti di sicurezza, tempi di risposta e conservazione delle evidenze.
- In sede di verifica: prove che il processo esiste effettivamente, non solo una dichiarazione.
I numeri
Come rispondere senza improvvisare
Chi riceve il primo questionario di solito lo compila di corsa, una volta. Il secondo cliente ne manda uno diverso. Conviene avere pronto un insieme di risposte e documenti che valga per tutti.
Il fascicolo del fornitore
Descrizione del processo di gestione delle vulnerabilità, contatto per le segnalazioni, politica di divulgazione, periodo di assistenza dichiarato per ogni prodotto.
Le evidenze
SBOM aggiornate per prodotto e versione, storico delle vulnerabilità valutate con la decisione presa, dichiarazioni VEX per le falle non applicabili, rapporti periodici.
Le risposte standard
Un documento di risposte ricorrenti, aggiornato, da cui attingere per ogni questionario, con la data dell'ultima revisione.
Che cosa fa Assiduo
Assiduo produce proprio il materiale che i clienti NIS2 chiedono: SBOM seguite nel tempo, vulnerabilità valutate con una decisione documentata, evidenze esportabili. Non gestisce invece gli obblighi NIS2 della tua organizzazione, se ne sei soggetto anche tu: quelli restano un percorso a parte.
AAssiduo fa
- Tiene aggiornate SBOM e componenti per ogni prodotto e versione
- Documenta ogni vulnerabilità valutata: applicabile o no, chi ha deciso, quando
- Esporta evidenze e rapporti da allegare ai questionari dei clienti
- Raccoglie in un unico posto gli avvisi dei tuoi fornitori
TuA te resta
- Rispondere ai clienti e firmare le clausole contrattuali
- Gli obblighi NIS2 della tua organizzazione, se sei un soggetto NIS2
- Le notifiche di incidente previste dalla NIS2, che sono di chi la subisce
Domande frequenti
Non sono un soggetto NIS2: mi riguarda lo stesso?
Sì, in modo indiretto: la NIS2 arriva ai fornitori attraverso i clienti che ne sono soggetti. Non hai obblighi verso l'ACN, ma avrai obblighi contrattuali verso quei clienti.
Un cliente mi chiede la SBOM. Devo dargliela?
Il Cyber Resilience Act non ti obbliga a renderla pubblica, ma non vieta di consegnarla a un cliente. Se il contratto lo prevede, sì. Conviene concordare formato, frequenza di aggiornamento e riservatezza.
Il questionario chiede se sono «conforme al CRA». Che cosa rispondo?
Fino all'11 dicembre 2027 la piena conformità non è ancora esigibile, e oggi non esiste una certificazione CRA. Si risponde descrivendo che cosa è già in atto: gestione delle vulnerabilità, SBOM, segnalazioni, periodo di assistenza, con le evidenze.
Arriva prima delle richieste
Poche domande sul tuo contesto e una forchetta di prezzo del presidio. Gratuito, senza caricare file.
Configura il tuo presidioOppure leggi la guida al Cyber Resilience Act.