La NIS2 entra in una nuova fase operativa. Per molte organizzazioni inserite nell’elenco dei soggetti NIS nel 2025, ottobre 2026 rappresenta una delle scadenze più importanti del percorso di adeguamento, perché giunge a termine il periodo previsto per implementare le misure di sicurezza di base definite dall’Agenzia per la Cybersicurezza Nazionale.

Ma il cambiamento più significativo non riguarda soltanto ciò che avviene all’interno dell’azienda, la NIS2 porta infatti la cybersecurity lungo tutta la catena di approvvigionamento. Fornitori IT, provider cloud, società di assistenza, software house, partner tecnologici e soggetti che erogano servizi indispensabili per l’operatività aziendale diventano parte integrante dell’analisi del rischio.

Il principio è semplice: un’organizzazione può avere un’infrastruttura interna ben protetta, ma rimanere vulnerabile attraverso uno dei propri fornitori per questo la compliance NIS2 non può fermarsi ai confini dell’azienda.

Ottobre 2026: cosa cambia realmente

Per i soggetti inseriti nell’elenco NIS nel 2025, la scadenza per l’adozione delle misure di sicurezza di base cade, nella maggior parte dei casi, nel corso di ottobre 2026, in funzione della data della comunicazione ricevuta dall’ACN.

Non significa che dal 1° ottobre tutti i fornitori diventino automaticamente soggetti NIS, significa però che la gestione della sicurezza della supply chain diventa una componente concreta delle misure che i soggetti essenziali e importanti devono aver implementato. Il Decreto Legislativo 138/2024 prevede infatti, tra le misure di gestione del rischio, la sicurezza della catena di approvvigionamento e degli aspetti relativi ai rapporti tra il soggetto NIS e i suoi fornitori diretti o fornitori di servizi.

L’azienda deve quindi conoscere le proprie dipendenze tecnologiche e operative, valutarne la criticità e considerare anche il livello di sicurezza dei soggetti dai quali dipendono i propri servizi.

NIS2 e fornitori rilevanti: cosa è cambiato nel 2026

Nel 2026 ACN ha rafforzato ulteriormente questo approccio, la Determinazione n. 127437 del 13 aprile 2026 ha introdotto nella piattaforma ACN l’elencazione dei fornitori rilevanti NIS non viene quindi richiesto semplicemente un elenco indiscriminato di tutti i fornitori dell’azienda. Il concetto centrale è quello di rilevanza.

Un fornitore può essere considerato rilevante quando la fornitura riguarda determinati servizi ICT oppure quando la sua interruzione o compromissione potrebbe generare un impatto significativo sulla capacità del soggetto NIS di erogare le proprie attività o servizi.

Questo secondo aspetto è particolarmente importante.

Non solo fornitori IT

Pensare alla supply chain NIS2 esclusivamente in termini di fornitori informatici sarebbe riduttivo, naturalmente cloud provider, software house, MSP, servizi di cybersecurity, data center e gestori di infrastrutture digitali rappresentano una componente particolarmente rilevante ma anche una fornitura non strettamente ICT può diventare critica quando la sua indisponibilità compromette un servizio rientrante nel perimetro NIS.

È quindi necessario valutare la filiera sulla base dell’impatto potenziale e non soltanto sulla categoria merceologica del fornitore. Questo richiede un lavoro strutturato di mappatura.

Come valutare i fornitori in ottica NIS2

Per ogni rapporto significativo, l’azienda dovrebbe essere in grado di comprendere almeno:
– quale servizio o processo dipende dal fornitore;
– quali sistemi e dati vengono coinvolti;
– quali accessi possiede il fornitore;
– quanto sarebbe grave una sua indisponibilità;
– quanto velocemente potrebbe essere sostituito;
– quali misure di sicurezza adotta;
– come gestisce incidenti e vulnerabilità;
– quali obblighi di cybersecurity sono previsti contrattualmente;
– quali eventuali subfornitori intervengono nel servizio.

L’obiettivo non è trasformare ogni rapporto di fornitura in un audit complesso, è concentrare l’attenzione sui rapporti che possono creare un rischio significativo per l’organizzazione.

Dalla supply chain alla gestione degli incidenti

L’altra grande area operativa della NIS2 riguarda la capacità di reagire agli incidenti, perché sapere che un fornitore è critico non basta, serve anche sapere cosa accade quando quel fornitore comunica un attacco, un’interruzione o una compromissione.
– Chi valuta l’impatto?
– Chi raccoglie le informazioni?
– Chi stabilisce se l’incidente assume rilevanza NIS?
– Chi mantiene il collegamento con CSIRT Italia?

Sono domande che devono trovare una risposta prima dell’emergenza ed è proprio qui che assume un ruolo centrale la figura del Referente CSIRT.

Chi è il Referente CSIRT

Il Referente CSIRT è la persona fisica designata per interfacciarsi operativamente con CSIRT Italia nell’ambito della gestione e della notifica degli incidenti. La figura è stata formalizzata dall’Agenzia per la Cybersicurezza Nazionale all’interno del quadro attuativo della NIS2 e non va confusa con il Punto di Contatto NIS.

Il Punto di Contatto presidia gli adempimenti e le interlocuzioni previste dal sistema NIS, mentre il Referente CSIRT assume un ruolo operativo specificamente collegato alla gestione degli incidenti e alle relative comunicazioni.

Quando si verifica un incidente significativo, infatti, le tempistiche previste sono molto stringenti:
– allarme rapido entro 24 ore;
– notifica entro 72 ore;
– relazione finale entro un mese.

Questo significa che non è possibile individuare responsabilità e procedure dopo che l’incidente è già iniziato.

Il Referente CSIRT deve essere realmente operativo

Designare formalmente una persona non è sufficiente, il Referente CSIRT deve poter accedere rapidamente alle informazioni necessarie, coordinarsi con i tecnici, comprendere la natura dell’incidente e assicurare che il processo di notifica venga gestito correttamente.

La funzione deve quindi essere collegata al sistema di Incident Response aziendale.

Se un attacco si verifica la sera, durante il fine settimana o in un giorno festivo, la necessità di rilevarlo e gestirlo non scompare, per questo la compliance NIS2 porta inevitabilmente verso un modello di cybersecurity sempre più orientato alla capacità operativa H24.

S&NT Informatica come Referente CSIRT esterno

S&NT Informatica mette a disposizione delle aziende anche un servizio di Referente CSIRT esterno, integrato con i servizi di cybersecurity e gestione degli incidenti. L’obiettivo è creare un presidio operativo in grado di supportare l’organizzazione nel rapporto con CSIRT Italia e nella gestione del processo di comunicazione previsto dalla normativa.

Il servizio può comprendere il supporto nelle diverse fasi:
Pre-notifica / allarme rapido: Raccolta delle prime informazioni disponibili e supporto alla comunicazione prevista entro le tempistiche richieste.
Notifica: Consolidamento delle informazioni sull’incidente e supporto alla comunicazione successiva.
Aggiornamenti: Gestione delle informazioni che emergono durante le attività di analisi e contenimento.
Relazione finale: Supporto alla ricostruzione dell’incidente, delle cause, degli impatti e delle azioni intraprese.

L’obiettivo non è semplicemente rispettare una scadenza formale, è garantire che l’azienda disponga di un interlocutore preparato quando l’incidente si verifica realmente.

Referente CSIRT, SOC e Incident Response devono lavorare insieme

La gestione degli incidenti funziona meglio quando il Referente CSIRT non opera come figura isolata, il modello deve collegare detection, analisi, risposta e comunicazione.
Per questo S&NT Informatica può integrare il servizio di Referente CSIRT con:
SOC 24/7: Monitoraggio continuativo degli eventi provenienti da endpoint, rete, cloud e infrastruttura.
Incident Response 24/7: Supporto nelle fasi di analisi, contenimento, remediation e ripristino.
Managed Detection & Response con TrendAI: Threat detection, analisi degli eventi e threat hunting supportati da tecnologie evolute.
Vulnerability Assessment continuativo: Individuazione e gestione delle vulnerabilità prima che possano diventare un vettore di compromissione.

In questo modello il Referente CSIRT diventa il punto di raccordo tra ciò che sta accadendo tecnicamente e gli obblighi di comunicazione previsti dal quadro NIS.

La scadenza di ottobre 2026 rappresenta quindi molto più di un nuovo adempimento.

Segna il passaggio dalla fase di classificazione e pianificazione alla concreta implementazione delle misure di sicurezza per molti dei soggetti entrati nel perimetro NIS nel 2025.

La supply chain è una delle aree sulle quali le aziende dovranno aumentare il livello di controllo. Occorre conoscere i fornitori rilevanti, comprendere le dipendenze, individuare le forniture difficilmente sostituibili e stabilire come gestire un eventuale incidente che coinvolga un soggetto esterno. Parallelamente deve essere operativo il processo di Incident Response, con ruoli e responsabilità chiaramente definiti.

Il Referente CSIRT assume in questo scenario una funzione fondamentale: trasformare gli obblighi di comunicazione in un processo realmente gestibile quando l’incidente si verifica.

La tua azienda è pronta alla fase operativa della NIS2?

S&NT Informatica supporta le organizzazioni nel passaggio dalla compliance documentale alla gestione operativa della cybersecurity.

Dalla valutazione dell’infrastruttura alla gestione della supply chain, dal SOC 24/7 all’Incident Response, fino al servizio di Referente CSIRT esterno, l’obiettivo è costruire un modello capace di funzionare anche quando si verifica un incidente reale.

Per approfondire il livello di preparazione della tua organizzazione:
commerciale@sntinformatica.it
055-4250774