NIS2 per MSP e fornitori IT: quando siete soggetti NIS, e cosa cambia

Per un'azienda informatica la NIS2 ha due facce. Da una parte i clienti soggetti NIS vi chiedono clausole, report e prove, perché siete un loro fornitore. Dall'altra potete essere soggetto NIS voi stessi: il d.lgs. 138/2024 mette la «gestione dei servizi TIC» tra i settori ad alta criticità dell'allegato I, insieme a energia, trasporti e sanità.

Questa guida è per chi gestisce sistemi, reti o sicurezza di altre aziende: quando si è dentro, con quale status, quali regole europee si aggiungono a quelle dell'ACN e come cambia il rapporto con i clienti.

Quando un'azienda informatica è dentro

Il settore 9 dell'allegato I comprende due tipologie, nella sola relazione tra imprese (business-to-business):

• fornitori di servizi gestiti (MSP): installano, gestiscono, fanno funzionare o mantengono prodotti, reti, infrastrutture o applicazioni informatiche dei clienti (art. 2, c. 1, lett. iii);
• fornitori di servizi di sicurezza gestiti (MSSP): fanno o supportano la gestione del rischio informatico dei clienti, per esempio con un SOC, il monitoraggio, la risposta agli incidenti o i vulnerability assessment (lett. lll; FAQ ACN A1.9.4).

La definizione di legge è ampia. L'ACN l'ha resa più concreta: serve un'assistenza o amministrazione attiva fatta attraverso un'interconnessione diretta tra la vostra rete e quella del cliente, come un accesso remoto dai vostri dispositivi, un dominio federato o un vostro apparato collegato alla sua rete (FAQ A1.9.2 e A1.9.3). Lo schema che ne esce:

Resta incerto il caso della software house che dà solo licenze e aggiornamenti senza gestire i sistemi del cliente. Il software venduto come servizio, invece, va guardato anche sotto la voce del cloud computing, che sta nello stesso allegato, al settore 8, insieme a data center e reti di distribuzione dei contenuti.

Conta anche il servizio reso solo alle società del proprio gruppo (FAQ A1.9.6). Chi è sotto la soglia della media impresa può comunque entrare se fornisce servizi informatici o di sicurezza a una società collegata che è soggetto NIS (art. 3, c. 10), o se l'ACN lo individua.

Dimensione e status: dall'allegato I

Vale la regola dimensionale: si entra dalla media impresa in su (art. 3, c. 2), sommando i dati del gruppo. Le soglie sono in a chi si applica la NIS2. Siccome il settore è nell'allegato I, la dimensione decide anche lo status:

• media impresa: soggetto importante, con 37 misure e 87 requisiti di base e vigilanza solo in presenza di elementi di violazione;
• grande impresa: soggetto essenziale (art. 6, c. 1, lett. a), con 43 misure e 116 requisiti, vulnerability assessment periodici e test di ripristino dei backup, ispezioni e audit anche senza indizi di violazione e sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale.

Due regole del decreto riguardano proprio questo settore. Per la giurisdizione conta lo stabilimento principale nell'Unione, non i Paesi in cui lavorate (art. 5). E l'autorità di settore è la Presidenza del Consiglio dei ministri, in collaborazione con l'ACN (art. 11, c. 2, lett. a), mentre registrazione, vigilanza e sanzioni restano all'ACN.

Le regole in più: il regolamento (UE) 2024/2690

Per alcuni fornitori digitali la Commissione europea ha adottato un regolamento di esecuzione, il 2024/2690, direttamente applicabile dal 7 novembre 2024. Riguarda, tra gli altri, MSP, MSSP, cloud, data center e servizi DNS: non una qualsiasi azienda, ma chi è uno di questi fornitori ed è soggetto NIS. Chiede tre cose che contano nella pratica.

• Requisiti tecnici dettagliati per le misure di sicurezza, nell'allegato del regolamento.
• Cadenze più strette di quelle dell'ACN: politica di sicurezza, valutazione dei rischi con il piano di trattamento e assegnazione dei ruoli si riesaminano almeno una volta all'anno (allegato, punti 1.1.2, 2.1.4 e 10.1.3), contro i due anni previsti dalle misure di base per valutazione dei rischi e ruoli.
• Soglie proprie per gli incidenti significativi (artt. 3 e 10). Per un servizio gestito o di sicurezza gestito, per esempio, è significativo un incidente che lo rende completamente indisponibile per più di 30 minuti, o che lo limita per oltre il 5% degli utenti nell'Unione per più di un'ora, oltre ai criteri generali come una perdita diretta superiore a 500.000 euro o, se inferiore, al 5% del fatturato annuo.

Come queste regole si combinino con le misure di base e con i tipi di incidente fissati dall'ACN (da IS-1 a IS-4) non è ancora stato chiarito da documenti ufficiali. La lettura prudente è applicare entrambe le serie di regole e, per le cadenze, la più stretta. Le misure ACN sono spiegate in le misure di sicurezza di base.

Incidenti: i vostri e quelli dei clienti

Con i clienti soggetti NIS la domanda pratica è sempre la stessa: chi notifica? La regola è legata a chi è titolare dei sistemi colpiti.

• Incidente sui sistemi del cliente che voi gestite: lo notifica il cliente, perché sono i suoi sistemi. Voi dovete aiutarlo e avvisarlo subito, perché i suoi tempi partono da quando ne viene a conoscenza.
• Incidente sui vostri sistemi, per esempio la piattaforma di gestione remota o il vostro SOC: se siete soggetto NIS lo notificate voi al CSIRT Italia. Spesso tocca anche i clienti, e allora notificano anche loro per la parte che li riguarda.

I tempi sono gli stessi per tutti: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. Scrivete nei contratti chi avvisa chi, in quanto tempo e con quali informazioni, così nessuno perde le prime ore: i dettagli sono in la notifica degli incidenti.

Con i clienti NIS: fornitore rilevante e clausole

Per i clienti soggetti NIS siete un anello della loro catena di fornitura, e uno dei più delicati, perché avete accesso alle loro reti. Questo ha tre conseguenze:

• vi indicano all'ACN come fornitore rilevante. Chi fornisce servizi gestiti o di sicurezza gestiti rientra nel criterio della «fornitura ICT» e va comunicato nell'aggiornamento annuale, dal 15 aprile al 31 maggio (det. ACN 314287/2026, art. 18);
• mettono requisiti di sicurezza nei contratti nuovi, rinnovati o prorogati, e li verificano periodicamente (misure GV.SC-05 e GV.SC-07);
• vi chiedono documenti periodici: report dei backup e dei test di ripristino, report degli aggiornamenti, esiti dei vulnerability assessment, elenco delle persone con accesso, stato dell'autenticazione a più fattori.

Avere già pronte queste prove, con le loro date, è oggi un argomento commerciale oltre che un obbligo. Tutto il lato del cliente è spiegato in NIS2 e fornitori, e la lista dei documenti con le loro cadenze in i documenti da tenere aggiornati.

Da dove partire

1. Classificate i servizi che offrite con lo schema sopra: gestiti, di sicurezza gestiti, cloud, solo rivendita.
2. Calcolate la dimensione con l'ultimo esercizio chiuso, gruppo compreso, e capite se sareste importanti o essenziali.
3. Se siete dentro, preparate la registrazione e mettete insieme misure ACN e regolamento 2024/2690.
4. In ogni caso, preparate per i clienti un pacchetto standard: allegato di sicurezza al contratto, procedura di avviso degli incidenti, report periodici.

Pilot serve a entrambe le facce. Se siete soggetto NIS vi guida negli adempimenti; se seguite clienti NIS, ognuno di loro vi può dare un link personale da cui caricare i report che vi chiede, senza account, con un promemoria prima della scadenza. Partite dalla verifica gratuita oppure iniziate gratis. Per un affiancamento c'è la consulenza NIS2 dello Studio.

Domande frequenti