NIS2 e fornitori ICT: perché il datacenter che scegli è (anche) una scelta di conformità

La NIS2 non è solo un nuovo adempimento normativo. È un cambio di prospettiva.

Con il recepimento italiano tramite il D.Lgs. 138/2024, il tema della sicurezza informatica entra sempre di più nei processi decisionali delle imprese: non riguarda soltanto l’IT, ma anche governance, continuità operativa, gestione del rischio, contratti, fornitori e responsabilità aziendali.

Il punto più importante, spesso sottovalutato, è questo: per molte aziende l’adeguamento alla NIS2 non dipenderà solo da ciò che accade “dentro” l’organizzazione, ma anche da ciò che accade lungo la propria catena di fornitura ICT. 

In altre parole, se un software gestionale, un servizio cloud, un datacenter o un partner tecnologico diventano elementi critici per la continuità dell’azienda, allora anche la scelta del fornitore diventa una decisione di sicurezza e di allineamento ai nuovi requisiti normativi. 

Cos’è la NIS2 e perché riguarda anche i fornitori ICT 

La normativa NIS2 nasce per rafforzare il livello comune di cybersicurezza in Europa.

In Italia è stata recepita con il D.Lgs. 138/2024 e introduce obblighi più strutturati in materia di gestione del rischio, misure di sicurezza, governance e notifica degli incidenti. L’Agenzia per la Cybersicurezza Nazionale (ACN) evidenzia che il nuovo quadro estende gli obblighi in materia di misure di sicurezza e notifica degli incidenti e rafforza i poteri di supervisione. 

L’ambito di applicazione dipende, in estrema sintesi, da due fattori: il settore in cui opera l’organizzazione e la sua dimensione. Alcuni settori sono considerati ad alta criticità, altri rientrano tra i settori critici individuati dalla normativa. In base ai casi, l’organizzazione può essere qualificata come soggetto essenziale o soggetto importante. 

Ma il vero tema operativo, per molte imprese, è un altro: la sicurezza della catena di approvvigionamento. 

La NIS2 richiede infatti ai soggetti obbligati di presidiare anche i rischi connessi ai fornitori, compresi quelli che erogano servizi ICT, cloud, hosting, gestione applicativa, cybersecurity, conservazione o trattamento dati.

Le linee guida ACN richiamano espressamente la sicurezza della catena di approvvigionamento tra gli aspetti da considerare nelle misure di base. Questo significa che un’azienda soggetta a NIS2 dovrà essere in grado di chiedere, verificare e documentare il livello di affidabilità dei propri fornitori tecnologici. 

Il punto critico: il fornitore ICT non è più solo un fornitore 

Fino a pochi anni fa, nella scelta di un gestionale o di una piattaforma aziendale, le domande principali erano spesso: 

• “Funziona bene?” 
• “È scalabile?” 
• “Quanto costa?” 
• “È integrabile con i nostri processi?” 

Oggi queste domande restano fondamentali, ma non bastano più. Per le aziende coinvolte dalla NIS2, direttamente o indirettamente, diventano centrali anche altre domande: 

• “Dove sono ospitati i dati?” 
• “Il datacenter è certificato?” 
• “Esistono procedure documentate di gestione degli incidenti?” 
• “Ci sono backup, disaster recovery e continuità operativa?” 
• “Il fornitore è in grado di supportare audit e verifiche?” 
• “Le responsabilità sono chiare anche a livello contrattuale?” 

La ragione è semplice: un fornitore debole può diventare l’anello debole dell’intera catena di adeguamento. 

Cosa chiedere al proprio fornitore ICT o datacenter: la checklist 

Una prima verifica può partire da una checklist concreta. Non sostituisce una valutazione legale o tecnica approfondita, ma aiuta a capire se il proprio ecosistema ICT è impostato su basi solide. 

1. Certificazioni di sicurezza 

Il fornitore dovrebbe poter esibire certificazioni riconosciute e verificabili. La ISO/IEC 27001 è il riferimento principale per i sistemi di gestione della sicurezza delle informazioni. Per i servizi cloud diventano rilevanti anche ISO/IEC 27017, relativa ai controlli di sicurezza per il cloud, e ISO/IEC 27018, relativa alla protezione dei dati personali nei servizi cloud pubblici. 

Zucchetti dichiara di adottare ISO/IEC 27001 per il proprio Sistema di Gestione della Sicurezza delle Informazioni, ISO/IEC 27017 per i controlli avanzati sui servizi cloud e ISO/IEC 27018 per la protezione delle informazioni personali nei servizi cloud. 

2. Gestione degli incidenti 

Il fornitore deve avere un processo chiaro per identificare, gestire, comunicare e documentare gli incidenti di sicurezza. 

Per un’azienda soggetta a NIS2 questo aspetto è decisivo, perché la normativa prevede obblighi di notifica degli incidenti significativi. Di conseguenza, anche i fornitori critici devono essere in grado di comunicare tempestivamente eventi che potrebbero impattare sui sistemi o sui dati del cliente. 

3. Logging, tracciabilità e audit trail 

Un’infrastruttura affidabile deve consentire la registrazione degli eventi rilevanti, la tracciabilità delle attività e la disponibilità di evidenze in caso di verifica, incidente o audit. 

Non si tratta solo di “avere i log”, ma di sapere quali eventi vengono registrati, per quanto tempo, con quali modalità di protezione e con quale possibilità di consultazione. 

4. Backup, disaster recovery e continuità operativa 

La continuità dei sistemi gestionali è un tema centrale. Un’interruzione prolungata può bloccare amministrazione, produzione, logistica, vendite, documenti, processi HR e attività operative. 

Per questo è importante chiedere al fornitore quali siano le politiche di backup, i tempi di ripristino, le procedure di disaster recovery e le evidenze dei test effettuati. Zucchetti dichiara di aver conseguito anche la certificazione ISO 22301 per il Sistema di Business Continuity. 

5. Trasparenza sui subfornitori 

La catena ICT non si ferma quasi mai al primo fornitore. Spesso include datacenter, connettività, servizi cloud, software house, componenti applicative, sistemi di monitoraggio e servizi terzi. 

Per questo è importante che il fornitore sia trasparente sulla propria filiera e sulle responsabilità dei soggetti coinvolti. 

6. Diritto di verifica e documentazione 

Un cliente soggetto a NIS2 deve poter dimostrare di aver valutato i propri fornitori critici. Questo richiede documenti, certificazioni, procedure, evidenze e, nei casi più rilevanti, la possibilità di effettuare verifiche o ricevere audit report. 

Zucchetti dichiara, ad esempio, di aver conseguito l’attestazione ISAE 3402 TYPE II per i Servizi Datacenter, a seguito di audit indipendenti sui controlli interni a supporto della fornitura dei servizi datacenter. 

7. Localizzazione e giurisdizione dei dati 

Sapere dove risiedono i dati è un elemento sempre più importante. Non riguarda solo la privacy, ma anche la gestione del rischio, la continuità, la sovranità del dato e la chiarezza delle responsabilità. 

Per molte imprese italiane, poter contare su un’infrastruttura enterprise in giurisdizione italiana rappresenta un elemento di maggiore controllo e trasparenza. 

Infinity su Datacenter Enterprise Zucchetti: una base solida per la filiera ICT 

È qui che il tema NIS2 si collega in modo concreto alle piattaforme gestionali. 

Soluzioni come quelle dell’ecosistema Infinity non sono semplicemente strumenti applicativi. Per molte aziende rappresentano il cuore dei processi: amministrazione, documenti, flussi approvativi, dati aziendali, gestione operativa, produzione, HR, controllo e reporting. 

Se questi sistemi sono critici per l’azienda, anche l’infrastruttura che li ospita diventa critica. 

L’erogazione delle soluzioni Infinity su Datacenter Enterprise Zucchetti consente di costruire un modello più robusto, perché unisce la componente applicativa a un’infrastruttura progettata per rispondere a requisiti elevati di sicurezza, continuità, controllo e verificabilità. 

Gli elementi da valorizzare, previa validazione puntuale con Zucchetti e Datacenter Zucchetti, sono: 

• infrastruttura enterprise gestita dal produttore 
• certificazioni di sicurezza e continuità documentabili 
• controlli e processi sottoposti ad audit indipendenti 
• maggiore chiarezza sulla filiera tecnologica 
• possibilità di supportare le richieste di due diligence dei clienti soggetti a NIS2 
• gestione più strutturata di backup, continuità e sicurezza operativa 

In questo scenario, la scelta della piattaforma gestionale non è più solo una scelta funzionale. Diventa parte della strategia di resilienza digitale e di allineamento normativo dell’impresa. 

Il ruolo di UPSYSTEMS: non solo tecnologia, ma competenza sul percorso 

Per Upsystems, il tema NIS2 non è un argomento “di comunicazione” costruito a tavolino. È un percorso reale.  In questi giorni stiamo lavorando in modo approfondito sul tema, confrontandoci con Zucchetti e con il Datacenter Zucchetti per chiarire requisiti, responsabilità, evidenze e modalità operative da mettere a disposizione dei clienti. 

Questo lavoro ci permette di portare valore su tre livelli: 

• Consulenziale: aiutare le aziende a comprendere se e come la NIS2 può riguardarle, direttamente o indirettamente. 
• Tecnologico: accompagnare i clienti nella scelta di soluzioni gestionali e infrastrutturali coerenti con le nuove esigenze di sicurezza e continuità. 
• Documentale: supportare le imprese nel raccogliere le evidenze necessarie per valutare la propria filiera ICT e rispondere a eventuali richieste di audit o due diligence. 

Il nostro ruolo, quindi, non è “vendere un software perché c’è una nuova normativa”. È aiutare l’azienda a fare una scelta più consapevole: scegliere piattaforme, infrastrutture e partner che possano reggere un contesto in cui sicurezza, adeguamento normativo e continuità operativa sono sempre più collegati. 

Uno strumento utile: il self-check NIS2 

Per rendere questo percorso ancora più concreto, Upsystems ha reso disponibile un self-check NIS2, uno strumento di autovalutazione preliminare.  L’obiettivo è semplice: aiutare l’azienda a orientarsi rispetto all’ambito di applicazione del D.Lgs. 138/2024 attraverso cinque domande guidate su giurisdizione, settore, attività specifiche, dimensione aziendale e appartenenza a gruppi di imprese. 

Self-check preliminare NIS2

La tua azienda potrebbe rientrare nel perimetro NIS2?

Rispondi a cinque domande guidate per ottenere un primo orientamento sull’ambito di applicazione del D.Lgs. 138/2024.

Avvia il self-check →

Il risultato non sostituisce una valutazione legale o tecnica, ma può offrire un primo orientamento tra tre possibili esiti: 

• azienda probabilmente soggetta a NIS2; 
• azienda probabilmente non soggetta; 
• situazione da approfondire. 

Da lì può partire un confronto più puntuale sulla posizione dell’azienda e, soprattutto, sulla solidità della sua catena di fornitura ICT. 

FAQ – Domande frequenti 

In sintesi 

La NIS2 sposta l’attenzione dalla sicurezza del singolo sistema alla sicurezza dell’intero ecosistema digitale dell’impresa. 

Per molte aziende, questo significa che non basterà avere buone procedure interne. Sarà necessario poter dimostrare che anche i fornitori tecnologici, i datacenter e le piattaforme critiche siano adeguati, documentabili e coerenti con i requisiti richiesti. 

La domanda da porsi, quindi, non è solo: “La mia azienda è soggetta alla NIS2?” 

Ma anche:  “La mia filiera ICT è pronta a sostenere una verifica?” 

Upsystems, insieme a Zucchetti e al Datacenter Zucchetti, può accompagnare le imprese in questa valutazione, aiutandole a scegliere soluzioni gestionali e infrastrutturali più solide, più verificabili e più adatte al nuovo scenario normativo. 

Vuoi capire se la tua azienda rientra nel perimetro NIS2? Compila il self-check NIS2 in due minuti e scopri il tuo primo orientamento. 

Vuoi anche verificare se la tua infrastruttura ICT è pronta a sostenere una due diligence? Compila il form sottostante e richiedi un primo confronto con Upsystems.