Le FAQ ACN da MSB.12 a MSB.19 chiariscono che i soggetti NIS2 devono valutare il rischio di ogni fornitore, tradurre quella valutazione in clausole contrattuali specifiche e verificarne l’attuazione. I contratti esistenti vanno adeguati con criteri proporzionati, mentre per RTI e affidamenti misti la responsabilità si distribuisce tra i partecipanti secondo regole dedicate. Chi redige o rivede contratti con fornitori ICT di un soggetto NIS2 non può ignorare questi requisiti senza esporre il cliente a inadempimento normativo.
Punti chiave
- Punto 1 — Le FAQ ACN MSB.12-MSB.19 rendono obbligatoria la clausola di sicurezza nei contratti con fornitori ICT.
- Punto 2 — I contratti già in essere vanno rinegoziati con criteri proporzionati al rischio residuo stimato.
- Punto 3 — Negli RTI la responsabilità NIS2 sulla supply chain si distribuisce tra i soggetti partecipanti.
Chi assiste soggetti obbligati dalla NIS2 — enti pubblici, operatori di infrastrutture critiche, fornitori di servizi digitali — deve aggiornare il proprio approccio alla redazione dei contratti con terze parti. Le FAQ dell’Agenzia per la Cybersicurezza Nazionale da MSB.12 a MSB.19 non lasciano margine interpretativo: la sicurezza della supply chain non è una best practice, è un obbligo con contenuto minimo definito dall’autorità.
L’ACN ha pubblicato queste chiarimenti nell’ambito dell’attuazione del d.lgs. 138/2024, che recepisce la Direttiva UE 2022/2555 (NIS2). Il testo integrale delle FAQ è disponibile sul sito istituzionale dell’Agenzia, con analisi approfondita su Agenda Digitale.
Il contesto normativo
L’art. 24 del d.lgs. 138/2024 impone ai soggetti essenziali e importanti di adottare misure di gestione del rischio che comprendano esplicitamente la sicurezza della catena di approvvigionamento, inclusi i rapporti con fornitori e prestatori di servizi. La norma non si limita a chiedere una policy interna: pretende che le misure si traducano in obblighi contrattuali verificabili. In parallelo, l’art. 1453 c.c. resta lo strumento che consente al soggetto NIS2 di agire per risoluzione o risarcimento quando il fornitore non rispetta i requisiti di sicurezza pattuiti. Il coordinamento tra obbligo pubblicistico e rimedio civilistico è il terreno su cui si gioca la consulenza contrattuale in questo settore.
Cosa cambia per lo studio
- Valutazione del rischio come presupposto contrattuale. Secondo la FAQ MSB.12, prima di stipulare un contratto con un fornitore ICT il soggetto NIS2 deve condurre una valutazione del rischio specifica. Il contratto va redatto dopo quella valutazione, non prima. L’avvocato deve strutturare la sequenza procedurale del cliente in questo ordine.
- Clausole minime obbligatorie. Le FAQ MSB.13-MSB.15 identificano i contenuti che il contratto deve includere: requisiti di sicurezza tecnici e organizzativi, obblighi di notifica degli incidenti, diritto di audit e accesso alle informazioni. Senza questi elementi, il contratto espone il cliente a contestazioni dell’ACN.
- Adeguamento dei contratti esistenti. La FAQ MSB.16 conferma che i contratti già in essere vanno rinegoziati, ma con criteri proporzionati: si tiene conto della durata residua, della criticità del fornitore e del rischio stimato. Questo apre uno spazio negoziale che va sfruttato prima della scadenza del periodo transitorio.
- RTI e affidamenti misti. La FAQ MSB.18 chiarisce che in caso di raggruppamento temporaneo di imprese la responsabilità sugli obblighi di supply chain security si distribuisce tra i partecipanti in base al perimetro di attività assegnato. Va verificato e scritto nell’accordo di RTI chi risponde di cosa.
- Verifica dell’attuazione. La FAQ MSB.19 precisa che il soggetto NIS2 non può limitarsi a inserire le clausole: deve monitorarne l’esecuzione con strumenti documentati. L’avvocato che redige il contratto dovrebbe includere meccanismi di reporting periodico e conseguenze per l’inadempimento già nel testo.
Attenzione a
Contratti standard non adattati. Il rischio più diffuso è usare template contrattuali generici senza inserire i requisiti specifici NIS2. Un contratto privo delle clausole MSB equivale a un inadempimento dell’obbligo di gestione del rischio della supply chain, indipendentemente dal comportamento del fornitore. L’ACN può contestare la carenza del contratto anche in assenza di un incidente.
Confondere l’obbligo NIS2 con la GDPR supply chain. Le clausole richieste dall’art. 24 d.lgs. 138/2024 sono distinte dagli accordi di trattamento ex art. 28 GDPR. Nei contratti ICT con fornitori che trattano anche dati personali, le due discipline si sovrappongono ma non si sostituiscono. Serve un documento contrattuale che copra entrambi i perimetri senza che l’uno assorba l’altro.
Domande frequenti
Cosa devono contenere i contratti con fornitori ICT sotto la NIS2?
Le FAQ ACN MSB.13-MSB.15 richiedono che i contratti includano requisiti tecnici e organizzativi di sicurezza, obblighi di notifica degli incidenti al soggetto NIS2, diritto di audit e accesso alle informazioni rilevanti. Questi elementi non sono facoltativi: la loro assenza espone il soggetto obbligato a contestazioni dell’Agenzia per la Cybersicurezza Nazionale indipendentemente da eventuali incidenti.
I contratti con fornitori già in essere vanno rinegoziati per la NIS2?
Sì. La FAQ ACN MSB.16 prevede l’obbligo di adeguamento dei contratti esistenti, ma con criteri proporzionati: si valutano durata residua del contratto, criticità del fornitore per il servizio erogato e livello di rischio stimato. Il soggetto NIS2 deve documentare questa valutazione e avviare la rinegoziazione entro i termini del periodo transitorio previsto dal d.lgs. 138/2024.
In un RTI chi risponde degli obblighi NIS2 sulla supply chain?
Secondo la FAQ ACN MSB.18, in un raggruppamento temporaneo di imprese la responsabilità sugli obblighi di sicurezza della supply chain si distribuisce in base al perimetro di attività assegnato a ciascun partecipante. L’accordo di RTI deve quindi specificare espressamente quale soggetto è responsabile della gestione del rischio fornitori per ciascuna componente del servizio, evitando zone grigie che l’ACN potrebbe contestare.
Fonte di riferimento: AgendaDigitale