Molte imprese tecnologiche non rientrano direttamente né nella NIS2 né nel DORA, il regolamento europeo sulla resilienza operativa digitale del settore finanziario. Software house, fornitori di servizi cloud, società di consulenza informatica, fornitori di servizi gestiti, startup fintech: formalmente, per molte di loro, queste norme non si applicano. Eppure ne sentono gli effetti ogni giorno.
Il motivo è semplice. Banche, assicurazioni, operatori energetici, ospedali, trasporti, amministrazioni e tutti gli altri soggetti regolati devono gestire i rischi dei propri fornitori di servizi digitali. E lo fanno trasferendo requisiti, controlli e clausole contrattuali lungo la catena di fornitura. Se il vostro cliente è regolato, prima o poi le sue regole diventeranno, almeno in parte, anche vostre.

‍
Perché proprio adesso
Nel 2026 questa pressione è aumentata in modo evidente.
Sul fronte NIS2, i soggetti italiani dovevano censire i propri fornitori rilevanti sulla piattaforma dell'ACN entro il 31 maggio e devono adottare le misure di sicurezza di base, tra cui quelle sulla sicurezza della catena di approvvigionamento, entro il 31 ottobre. Molti stanno quindi inviando proprio in queste settimane questionari, richieste di documentazione e nuove clausole ai loro fornitori.
Sul fronte DORA, il regolamento si applica dal 17 gennaio 2025. Le entità finanziarie tengono un registro di tutti i contratti con fornitori ICT e lo trasmettono alle autorità. Dal novembre 2025 le autorità europee di vigilanza sorvegliano direttamente i primi 19 fornitori ICT designati come critici, tra cui i grandi fornitori cloud. Ma gli obblighi contrattuali del DORA valgono per tutti i fornitori ICT delle entità finanziarie, non solo per quelli critici, e sono più stringenti quando il servizio supporta funzioni critiche o importanti del cliente.

‍
1. Questionari e richieste di evidenze
La prima cosa che arriva è di solito un questionario di sicurezza. Le domande riguardano politiche di sicurezza, controllo degli accessi, autenticazione a più fattori, gestione delle vulnerabilità, cifratura, backup, continuità operativa, gestione degli incidenti, formazione del personale e subfornitori. Sempre più spesso il cliente chiede anche evidenze: certificazioni come la ISO/IEC 27001, rapporti di audit indipendenti, risultati di test di ripristino o di penetrazione, piani di continuità.
Per un fornitore con molti clienti regolati il rischio è di passare settimane a rispondere a questionari diversi con domande simili.
Come prepararsi: costruire un «pacchetto sicurezza» con documentazione aggiornata e riutilizzabile: politiche principali, descrizione delle misure tecniche e organizzative, certificazioni, sintesi dei test, organigramma della sicurezza, elenco dei subfornitori. Tenerlo aggiornato almeno una volta l'anno.

‍
2. Obblighi di segnalazione degli incidenti
Il cliente deve rispettare termini molto brevi. Per la NIS2, pre-notifica al CSIRT Italia entro 24 ore e notifica entro 72 ore. Per il DORA, la notifica iniziale di un incidente grave va trasmessa entro poche ore dalla sua classificazione. Il cliente può rispettarli solo se i fornitori lo avvisano subito.
Cosa vi chiederà: di segnalare gli incidenti che incidono sui servizi forniti entro un termine breve, spesso di poche ore; di fornire le informazioni necessarie per la sua notifica, come natura dell'incidente, sistemi coinvolti e dati interessati; di aggiornarlo durante la gestione e di collaborare all'analisi finale.
Come prepararsi: dotarsi di una procedura interna di gestione degli incidenti che preveda anche la comunicazione ai clienti, con contatti reperibili fuori orario e modelli di comunicazione pronti. Attenzione a non accettare termini che non si è in grado di rispettare: meglio negoziare un termine realistico che violarlo.

‍
3. Clausole contrattuali specifiche (soprattutto DORA)
Il DORA elenca il contenuto minimo dei contratti tra entità finanziarie e fornitori di servizi ICT. Per tutti i servizi, i contratti devono prevedere tra l'altro:
• una descrizione chiara e completa dei servizi e dei luoghi in cui sono prestati e in cui sono trattati e conservati i dati;
• misure per garantire disponibilità, autenticità, integrità e riservatezza dei dati;
• l'accesso, il recupero e la restituzione dei dati in caso di insolvenza, cessazione dell'attività o risoluzione del contratto;
• livelli di servizio e il loro aggiornamento;
• l'assistenza al cliente in caso di incidenti ICT legati al servizio;
• la piena cooperazione con le autorità di vigilanza del cliente;
• diritti di recesso per il cliente nei casi previsti;
• la partecipazione a programmi di formazione e consapevolezza sulla sicurezza organizzati dal cliente.
Se il servizio supporta funzioni critiche o importanti del cliente, le richieste aumentano: livelli di servizio dettagliati con obiettivi quantitativi, obblighi di informazione e preavviso, piani di continuità testati, partecipazione ai test di penetrazione guidati dalle minacce, diritti illimitati di accesso, ispezione e audit anche per le autorità, strategie di uscita con un periodo di transizione adeguato.
Nel caso della NIS2 le clausole sono meno codificate, ma i contenuti richiesti sono simili: requisiti minimi di sicurezza, segnalazione degli incidenti, diritti di verifica, regole sui subfornitori e sulla gestione dei dati al termine del rapporto.
Come prepararsi: preparare un allegato contrattuale standard «NIS2 e DORA ready», da proporre ai clienti regolati. Negoziare su una base propria è molto più efficiente che accettare modelli diversi predisposti da ogni cliente, e consente di mantenere impegni coerenti e sostenibili.

‍
4. Audit e verifiche
Sia la NIS2 sia il DORA spingono i clienti a verificare i propri fornitori: audit documentali, questionari di approfondimento, visite in sede, test tecnici. Nel settore finanziario i diritti di audit del cliente restano anche quando il fornitore è sottoposto alla vigilanza diretta delle autorità europee.
Come prepararsi: definire in anticipo come gestire le richieste di audit: preavviso, durata, modalità, tutela della riservatezza e della sicurezza degli altri clienti. Per ridurre il carico, si possono offrire audit collettivi, cioè svolti una volta per più clienti, o rapporti di terze parti indipendenti che soddisfino più clienti insieme.

‍
5. Subfornitori
I clienti vogliono sapere su quali subfornitori vi appoggiate, soprattutto per cloud, data center, servizi di sicurezza e servizi gestiti. Spesso chiedono di essere informati in anticipo dei cambiamenti, di poterli contestare o di approvarli, e di ricevere garanzie che i subfornitori rispettino requisiti equivalenti.
Come prepararsi: tenere aggiornato l'elenco dei subfornitori, con i servizi forniti e i luoghi di trattamento dei dati, e trasferire loro requisiti coerenti con quelli che ricevete dai vostri clienti. Un anello debole nella vostra catena diventa un problema nella catena del cliente.

‍
6. Uscita e continuità
Il cliente deve poter cambiare fornitore senza interrompere i propri servizi. Aspettatevi richieste su piani di uscita, assistenza durante il periodo di transizione, formati di esportazione dei dati, restituzione e cancellazione sicura. Per i servizi cloud, questi obblighi si sommano a quelli del Data Act, che dal 2025 disciplina il cambio di fornitore e dal gennaio 2027 vieta i costi di passaggio.
Come prepararsi: definire un piano di uscita standard, con tempi, modalità e costi, e verificare che sia coerente con gli obblighi del Data Act.

‍
7. Un'opportunità, non solo un onere
Per un fornitore, adeguarsi a queste richieste ha un costo: tempo del personale, documentazione, eventuali certificazioni, revisione dei contratti con i subfornitori. Ma può diventare un vantaggio competitivo. I clienti regolati preferiranno fornitori capaci di dimostrare la propria sicurezza in modo rapido e documentato, e in molte gare e rinnovi la capacità di rispondere ai requisiti NIS2 e DORA sarà determinante. Chi arriva preparato riduce i tempi di vendita e si distingue dai concorrenti.

‍
Da dove partire
Il percorso può essere organizzato in cinque passi:
1. Mappare i clienti regolati, indicando per ciascuno se è soggetto a NIS2, a DORA o a entrambi, e quali servizi gli fornite.
2. Individuare i servizi critici, cioè quelli che supportano funzioni critiche o importanti dei clienti finanziari o servizi essenziali dei soggetti NIS2.
3. Preparare il pacchetto sicurezza con la documentazione e le evidenze principali.
4. Predisporre l'allegato contrattuale standard e la procedura di segnalazione degli incidenti ai clienti.
5. Allineare i subfornitori, verificando che possano sostenere gli stessi impegni.

La domanda da porsi non è la NIS2 o il DORA si applicano a noi? È i nostri clienti possono dimostrare di averci scelto e controllato in modo conforme, e noi possiamo aiutarli a farlo?

‍