Dal 31 ottobre 2026 i soggetti che rientrano nella direttiva NIS2 devono aver attuato le misure di sicurezza di base definite dall’Agenzia per la Cybersicurezza Nazionale. Molte PMI di Varese e Milano non sono soggette direttamente alla norma, ma la stanno incontrando lo stesso: arriva un’email da un cliente importante con un questionario di valutazione della sicurezza informatica da compilare entro pochi giorni. Chi non risponde, o risponde male, rischia di uscire dall’albo fornitori.
Questa guida spiega come affrontare il questionario senza panico, in cinque passi, e cosa serve davvero per rispondere “sì” alle domande che contano.
Perché il tuo cliente ti manda un questionario
La NIS2 obbliga i soggetti “essenziali” e “importanti” (energia, trasporti, sanità, manifattura, alimentare, servizi digitali, pubblica amministrazione) a gestire la sicurezza della catena di fornitura. In pratica devono verificare che i fornitori che accedono ai loro dati, ai loro sistemi o ai loro impianti non siano l’anello debole. Lo fanno con un questionario di assessment, spesso standardizzato, che copre governance, controllo degli accessi, backup, aggiornamenti e gestione degli incidenti.
Il questionario non è un esame da superare con il massimo dei voti: è una fotografia. Mentire è la scelta peggiore, perché le risposte possono essere verificate con un audit. Rispondere in modo onesto, con un piano di adeguamento per i punti scoperti, è quasi sempre accettato.
Passo 1: fai l’inventario prima di rispondere
Nessuna domanda del questionario si può affrontare senza sapere cosa c’è in azienda. Serve un elenco aggiornato di server, PC, dispositivi mobili, apparati di rete, servizi cloud (Microsoft 365, gestionale, CRM) e di chi ha accesso a cosa. Se l’inventario non esiste, è la prima cosa da fare: nei contratti di assistenza continuativa lo teniamo aggiornato automaticamente con il sistema di monitoraggio, ma anche un foglio di calcolo compilato con cura è un buon punto di partenza.
Passo 2: le cinque misure che pesano di più
I questionari cambiano da cliente a cliente, ma le domande decisive sono quasi sempre le stesse. Se puoi rispondere “sì” a queste cinque, sei già oltre la maggior parte dei fornitori.
- Autenticazione a più fattori (MFA) su posta, VPN, accessi remoti e amministrativi. È la misura singola più efficace contro il furto di credenziali.
- Backup verificati e separati dalla rete: copia immutabile o offline, test di ripristino periodico documentato. Un backup mai provato non conta.
- Aggiornamenti gestiti: sistemi operativi, firewall e applicazioni con patch applicate in tempi definiti, non “quando capita”.
- Protezione degli endpoint e del perimetro: antivirus gestito centralmente, firewall configurato con segmentazione della rete, accessi remoti solo tramite VPN.
- Procedura per gli incidenti: chi chiamare, cosa isolare, come avvisare i clienti. Anche una pagina scritta è meglio di niente, e la NIS2 chiede tempi di notifica precisi.
Passo 3: documenta, non solo fai
La novità della scadenza di ottobre è che la sicurezza va dimostrata. Per ogni misura serve un’evidenza: la policy scritta, lo screenshot della configurazione, il report del test di ripristino, il registro degli aggiornamenti. Raccogli tutto in una cartella “Sicurezza informatica” con data e responsabile: la prossima volta che arriva un questionario, la risposta è già pronta.
Passo 4: rispondi con un piano per ciò che manca
Per le domande a cui devi rispondere “no”, indica cosa farai e quando: “MFA in attivazione entro il 30 novembre”, “test di ripristino programmato trimestralmente dal prossimo mese”. Un fornitore che sa dove è scoperto e ha un piano è considerato affidabile; uno che risponde “sì” a tutto senza evidenze è considerato un rischio.
Passo 5: coinvolgi chi gestisce i tuoi sistemi
Molte risposte tecniche (configurazione del firewall, politica di backup, gestione delle patch) le ha già chi si occupa della tua infrastruttura. Se hai un contratto di assistenza, chiedi al tuo fornitore IT di compilare la parte tecnica e di fornire le evidenze: è parte del servizio. Se non hai nessuno che segue i sistemi in modo continuativo, il questionario è il momento giusto per porsi la domanda.
Come ti aiutiamo
Media Assistance affianca le PMI di Varese, Milano e Novara nella risposta ai questionari NIS2 dei clienti: facciamo un’analisi dello stato attuale, compiliamo la parte tecnica con le evidenze, proponiamo gli interventi in ordine di priorità e li realizziamo. Con il contratto di assistenza continuativa le misure principali (MFA, backup verificati, patch gestite, firewall Fortinet, protezione degli endpoint) sono già incluse e monitorate.
Hai ricevuto un questionario di sicurezza?
Mandacelo: ti diciamo in giornata a che punto sei e cosa serve per rispondere.