NIS2 e fornitori: come coordinare contratti, sicurezza e responsabilità degli amministratori

A cura dello Studio De Amicis & Petrova · Aggiornato il 6 novembre 2026 · Informazioni generali

Uno scudo collega edifici e documenti, illustrazione della sicurezza informatica nella catena di fornitura. — Illustrazione originale realizzata con intelligenza artificiale.

Partire dall’inquadramento dell’impresa

La disciplina NIS2 richiede di collegare sicurezza informatica, organizzazione e rapporti contrattuali. In Italia il riferimento è il decreto legislativo n. 138/2024, che recepisce la direttiva n. 2022/2555. Prima di modificare i contratti occorre stabilire la posizione dell’impresa: settore, dimensioni, attività effettive, eventuali criteri speciali e comunicazioni ricevute dall’Agenzia per la cybersicurezza nazionale.

Essere fornitore di un soggetto NIS non significa automaticamente essere assoggettato a tutti i suoi obblighi pubblicistici. Il cliente può però richiedere misure e informazioni per gestire il rischio della propria catena di approvvigionamento. È quindi necessario distinguere gli obblighi direttamente applicabili all’impresa dagli impegni assunti mediante contratto, verificando per ciascuno contenuto, destinatario e decorrenza.

La sicurezza riguarda anche la governance

L’articolo 23 del decreto attribuisce compiti specifici agli organi di amministrazione e direttivi dei soggetti essenziali e importanti: approvazione delle modalità di attuazione delle misure, supervisione, formazione e informazione sugli incidenti. L’esternalizzazione dell’infrastruttura o del supporto tecnico non esaurisce questo ruolo.

Un’organizzazione utile identifica chi propone le misure, chi decide, chi controlla l’avanzamento e quali informazioni arrivano agli amministratori. Verbali, piani di intervento e rendicontazioni dovrebbero descrivere decisioni e verifiche effettive. La sola raccolta di certificati o dichiarazioni del fornitore può non spiegare come siano gestiti i rischi rilevanti per i servizi dell’impresa.

Valutare il fornitore e il servizio concreto

L’articolo 24 include la sicurezza della catena di approvvigionamento tra le misure di gestione del rischio. Richiede di considerare, tra l’altro, vulnerabilità specifiche dei fornitori diretti e qualità dei prodotti e delle pratiche di sicurezza. La valutazione deve essere proporzionata all’esposizione e alle conseguenze possibili.

Per preparare il contratto è utile descrivere quali sistemi e dati siano interessati, quali accessi vengano concessi e quanto un’interruzione potrebbe incidere sull’attività. Un servizio di archiviazione, una manutenzione con accesso remoto e un software operativo non presentano necessariamente lo stesso rischio. Da questa analisi discendono requisiti, verifiche e priorità, da condividere tra area tecnica, acquisti, direzione e consulenza legale.

Tradurre i requisiti in impegni verificabili

Una clausola che impone genericamente il rispetto della NIS2 può lasciare irrisolte le questioni operative. È preferibile precisare ruoli, livelli di servizio, aggiornamenti di sicurezza, gestione degli accessi, conservazione delle evidenze e modalità con cui il cliente verifica l’adempimento. I requisiti devono essere compatibili con il servizio acquistato e con le responsabilità effettivamente affidate.

Il contratto dovrebbe affrontare anche subfornitura, continuità operativa, ripristino e cessazione del rapporto. Occorre sapere chi restituisce dati e documentazione, in quali formati, con quali tempi e come vengono revocati gli accessi. Le buone pratiche ENISA sottolineano l’importanza della gestione dei fornitori lungo la relazione: il controllo non si esaurisce nel questionario iniziale.

Incidenti: coordinare comunicazioni e decisioni

Quando si verifica un incidente, il cliente deve ricevere informazioni tempestive e utilizzabili. Il contratto può definire un referente, canali alternativi, contenuti minimi della prima segnalazione e aggiornamenti successivi. I tempi pattuiti con il fornitore devono consentire al soggetto obbligato di rispettare i propri adempimenti: non è sufficiente copiare una scadenza normativa senza considerare il tempo necessario per raccogliere e valutare i dati.

L’articolo 25 disciplina le notifiche degli incidenti significativi al CSIRT Italia. Applicabilità e decorrenze vanno verificate rispetto alla posizione del soggetto e agli atti attuativi pertinenti. Gli eventuali obblighi sulla violazione di dati personali devono essere valutati separatamente: destinatari, presupposti e contenuti non coincidono necessariamente con quelli NIS. È utile predisporre un flusso comune di raccolta delle informazioni e decisioni distinte per ciascun adempimento.

Responsabilità, controlli e aggiornamento

Limiti di responsabilità, garanzie, assicurazioni e rimedi contrattuali devono essere coerenti con i servizi e con i danni prevedibili. Una manleva non sostituisce l’adozione delle misure né elimina gli obblighi verso l’autorità. Anche un diritto di audit richiede regole pratiche su preavviso, riservatezza, accessi e gestione delle criticità emerse.

Per avviare una revisione sono utili contratti in essere, inventario dei servizi, analisi dei rischi, documenti tecnici e comunicazioni ACN. Lo Studio può affiancare i responsabili aziendali nella definizione di responsabilità e clausole, coordinandosi con gli specialisti di sicurezza. Le scadenze devono essere ricostruite sul caso concreto: il calendario di un’impresa non va trasferito automaticamente a un’altra, soprattutto quando cambia l’anno di ingresso nel perimetro.