NIS2 scadenza ottobre 2026: riguarda anche chi ti fa il sito? Sì, ma l'obbligo gli arriva da te, per contratto

Sì, ma non direttamente. Se la tua azienda è nell'elenco dei soggetti NIS dell'ACN, entro ottobre 2026 deve aver adottato le misure di sicurezza di base, e fra quelle c'è la sicurezza della catena di approvvigionamento. L'obbligo resta tuo: a chi ti fa il sito arriva da te, per contratto, e solo se quel sito può incidere sulla sicurezza dei tuoi sistemi.

Lo scrivo dal lato di chi i siti li costruisce. Vista da qui, la domanda che ci si sente fare è «siete conformi alla NIS2?». Detta così non ha risposta: uno studio web in genere non è un soggetto NIS, perché la norma guarda a settori precisi e, di regola, a imprese medie e grandi. La domanda utile è un'altra: cosa succede ai tuoi sistemi se il sito viene compromesso, e cosa si impegna a fare chi lo gestisce perché non succeda.

Premessa d'obbligo: non sono un consulente di sicurezza e questo non è un parere sulla conformità NIS2 della tua azienda. Parlo di quello che tocca il sito, che è il mio mestiere.

La scadenza è a diciotto mesi dalla comunicazione, non un giorno uguale per tutti

Il termine per adottare le misure di sicurezza di base è di diciotto mesi da quando l'azienda ha ricevuto la comunicazione di inserimento nell'elenco NIS. Le comunicazioni sono partite ad aprile 2025, ed è per questo che l'ACN parla di ottobre 2026. La data precisa è la tua: diciotto mesi dal giorno in cui ti è arrivata.

Due date di contorno. Chi è entrato nell'elenco per la prima volta nel 2026 ha tempo fino al 31 luglio 2027. E per chi è nell'elenco dal 2025 una parte degli obblighi è già attiva: da gennaio 2026 gli incidenti significativi vanno notificati al CSIRT Italia.

Le misure sono elenchi precisi, allegati alla determinazione ACN 379907 del 19 dicembre 2025. Dentro c'è una famiglia di misure dedicata ai fornitori, ed è quella che porta la NIS2 fino a chi ti tiene il sito.

L'obbligo sui fornitori è tuo, e a chi ti fa il sito arriva per contratto

La NIS2 non chiede niente direttamente a chi ti fa il sito: chiede a te di governare i tuoi fornitori. Nelle sue FAQ l'ACN descrive il percorso in quattro passi:

1. Valuti e documenti il rischio di ogni fornitura.
2. Definisci i requisiti di sicurezza in base a quel rischio, coerenti con le misure che applichi ai tuoi sistemi.
3. Li inserisci in richieste di offerta, contratti e accordi.
4. Verifichi periodicamente che il fornitore li rispetti, e lo documenti.

Nelle stesse FAQ ci sono due precisazioni che cambiano il tono della conversazione. La prima: i contratti già in essere non vanno riscritti per forza. I requisiti diventano obbligatori per i contratti stipulati, rinnovati o prorogati dal termine in poi.

La seconda: non serve ribaltare sul fornitore tutte le misure, e nemmeno copiarle parola per parola. Basta il contenuto sostanziale, proporzionato al rischio. E i requisiti servono solo per le forniture che possono avere un impatto sulla sicurezza dei tuoi sistemi.

Questa parte la trovo la più sensata di tutte. Archivia il questionario unico, quello spedito identico al fornitore del cloud e a chi ha fatto la landing della fiera.

Un sito conta quando tocca i tuoi sistemi

Un sito rientra fra le forniture da governare quando una sua compromissione può arrivare ai tuoi sistemi o ai tuoi dati. Per valutarlo l'ACN indica dei criteri minimi: il livello di accesso del fornitore ai tuoi sistemi, l'accesso ai dati, l'impatto di un'interruzione grave, tempi e costi di ripristino, i ruoli e le responsabilità del fornitore.

Applicati a un sito danno risultati molto diversi. Un sito vetrina statico, su un hosting separato dalla rete aziendale e senza area riservata, sta in basso: se viene manomesso è un danno d'immagine, ma da lì non si entra da nessuna parte.

Il rischio sale quando il sito smette di essere una vetrina:

• ha un'area clienti o un login che usa credenziali aziendali;
• è un e-commerce o un portale B2B collegato al gestionale;
• ha form che scrivono direttamente nel CRM;
• chi lo gestisce ha in mano il DNS del dominio, il pannello dell'hosting o chiavi API verso i tuoi sistemi.

Secondo me il punto più sottovalutato è l'ultimo, e in particolare il DNS: chi lo controlla può spostare il sito altrove e deviare la posta dell'azienda. Una web app collegata ai sistemi aziendali, poi, è un'altra categoria: lì chi la sviluppa ha accesso a dati e sistemi veri, e i requisiti vanno scritti di conseguenza.

Le domande da fare a chi ti tiene il sito

Le domande da fare sono queste, e le risposte vanno chieste per iscritto:

1. Chi ha accesso a cosa. Un elenco nominativo degli account su CMS, hosting, DNS e repository, con il secondo fattore attivo, e la regola per quando una persona esce dal progetto.
2. Dove gira il sito. Quale fornitore di hosting, in quale paese, e a chi è intestato il contratto: a te o a chi ti fa il sito.
3. Chi aggiorna, e in quanto tempo. Una cadenza per CMS, plugin e dipendenze, e un tempo massimo dichiarato quando esce una vulnerabilità grave.
4. Backup e ripristino. Ogni quanto, dove vengono tenuti, e quando è stato provato l'ultima volta un ripristino completo.
5. Incidenti. Entro quante ore vieni avvisato, a quale contatto e con quali informazioni.
6. Fine del rapporto. Come vengono riconsegnati codice, dati e accessi, e chi revoca cosa.

La quinta ha un motivo preciso. Per un incidente significativo hai 24 ore da quando ne vieni a conoscenza per la pre-notifica al CSIRT Italia, e 72 per la notifica. Un fornitore che ti avvisa dieci giorni dopo ti lascia a spiegare perché non lo sapevi.

Sulla terza ho già scritto cosa si rompe in un sito che nessuno tocca da tre anni.

Cosa può garantire chi ti fa il sito, e cosa no

Chi ti fa il sito può impegnarsi su quello che controlla. Io metterei per iscritto senza problemi: accessi nominativi con secondo fattore, aggiornamenti con tempi dichiarati, backup con un ripristino provato, un avviso entro un numero di ore concordato, la riconsegna di tutto a fine rapporto.

Quello che non posso garantire, e che nessuno dovrebbe prometterti:

• che il sito non verrà mai violato;
• la sicurezza dell'infrastruttura dell'hosting, oltre quello che l'hosting stesso dichiara;
• la tua conformità alla NIS2, che dipende da molto più del sito.

C'è poi il caso delle clausole scritte per chi gestisce un data center e mandate a uno studio di poche persone. Le strade sono due: firmare impegni che non si possono mantenere, oppure non firmare. Nessuna delle due ti rende più sicuro.

Se la tua azienda è nell'elenco, il momento buono è il prossimo rinnovo del contratto di manutenzione: è lì che i requisiti diventano obbligatori. A chi ti fa il sito l'allegato intero non serve. Mandagli le sei domande e pretendi sei risposte scritte.

Secondo me, per i siti, la NIS2 è soprattutto l'occasione di scrivere quello che andava scritto comunque: chi ha le chiavi, chi aggiorna, chi avvisa. Se non sei nel perimetro, fai le stesse domande lo stesso. L'unica differenza è che a te non le impone nessuno, e di solito è proprio per questo che nessuno le fa.