Gli operatori di infrastrutture critiche che subiscono un incidente cyber imputabile a un fornitore tecnologico rischiano sanzioni amministrative fino a 10 milioni di euro o il 2% del fatturato globale annuo ai sensi del d.lgs. 138/2024 (recepimento NIS2). Il contratto con il fornitore diventa il primo documento che la compliance e il legale interno esaminano dopo un incidente. Chi assiste questi operatori deve sapere dove si colloca la responsabilità contrattuale e dove inizia quella regolatoria.
Punti chiave
- Punto 1 — Il d.lgs. 138/2024 impone agli operatori critici di valutare la sicurezza della catena di fornitura tecnologica.
- Punto 2 — Un contratto carente di clausole SLA e continuità operativa espone il cliente a responsabilità regolatoria diretta.
- Punto 3 — La proposta CSA2 estende la certificazione obbligatoria a prodotti e servizi ICT usati in settori critici.
Chi assiste operatori energetici, idrici, sanitari o finanziari deve aggiornare subito il modello contrattuale standard per i fornitori ICT. Il d.lgs. 138/2024, in vigore dal 16 ottobre 2024, scarica sull’operatore la responsabilità di garantire la sicurezza dell’intera catena di approvvigionamento tecnologico, indipendentemente da chi gestisce fisicamente il sistema. Un contratto mal redatto con un fornitore cloud o di supervisione industriale può trasformare un incidente tecnico in una violazione normativa con conseguenze sanzionatorie dirette.
Il tema emerge con forza da un’analisi pubblicata da Agenda Digitale, che mette a fuoco come la dipendenza da fornitori tecnologici stia diventando un fattore di rischio giuridico e reputazionale misurabile per CISO e compliance officer degli operatori essenziali e importanti.
Il contesto normativo
Il d.lgs. 138/2024 (NIS2) prevede all’art. 24 l’obbligo per i soggetti essenziali e importanti di adottare misure di gestione del rischio della catena di approvvigionamento, incluse valutazioni specifiche sui fornitori di servizi ICT. La sanzione massima per i soggetti essenziali raggiunge 10 milioni di euro o il 2% del fatturato mondiale annuo, la più alta tra le due. Affianca questa disciplina il d.lgs. 134/2024 (recepimento direttiva CER), che impone agli operatori di infrastrutture critiche fisiche analoghe misure di resilienza, con un coordinamento esplicito con le autorità NIS competenti. Sul piano contrattuale, l’art. 1453 c.c. resta il riferimento per la risoluzione per inadempimento, ma la giurisprudenza di merito ha già iniziato a valutare la portata degli SLA tecnologici come obbligazioni di risultato: Trib. Milano, sez. spec. impresa, sent. n. 7134/2022 ha riconosciuto la natura di obbligazione di risultato nei contratti di managed security service con previsione di uptime garantito. La proposta di revisione del Cybersecurity Act (CSA2), attualmente in fase di trilogo UE, introdurrà schemi di certificazione obbligatoria per categorie di prodotti e servizi ICT destinati a settori critici, con impatto diretto sulle clausole di conformità da inserire nei contratti di fornitura.
Cosa cambia per lo studio
- Nei contratti di fornitura ICT per operatori NIS2, inserisci clausole esplicite di audit del fornitore, obblighi di notifica degli incidenti entro 24 ore e diritto di exit senza penali in caso di violazione certificata degli standard di sicurezza.
- Verifica se il cliente rientra tra i soggetti essenziali o importanti ai sensi dell’allegato I e II del d.lgs. 138/2024: la distinzione cambia il massimo edittale e le modalità di supervisione da parte dell’ACN.
- Nei contratti pluriennali con vendor unici (single-vendor lock-in), valuta clausole di portabilità dei dati e dei sistemi, rilevanti sia sotto il profilo della continuità operativa sia ai fini del Data Act (Reg. UE 2023/2854, applicabile dal 12 settembre 2025).
- In sede di due diligence su acquisizioni di operatori critici, la catena di fornitura tecnologica va mappata come asset autonomo: un fornitore dominante non certificato può abbattere il valore dell’operazione o imporre condizioni sospensive.
- Monitora l’iter CSA2: una volta approvato, gli schemi di certificazione obbligatoria diventeranno requisiti contrattuali impliciti nei settori regolati, con possibile nullità delle clausole difformi per contrasto con norma imperativa.
Attenzione a
Il primo errore frequente è trattare i contratti ICT per operatori critici come normali appalti di servizi. La sovrapposizione tra NIS2, CER, GDPR e futuro CSA2 crea un reticolo di obblighi il cui inadempimento non è solo contrattuale ma anche amministrativo-sanzionatorio: una clausola limitativa di responsabilità del fornitore può essere valida tra le parti ma non esonerare l’operatore dalla sanzione regolatoria.
Il secondo rischio riguarda la concentrazione del rischio su un unico fornitore di tecnologia operativa (OT) o di supervisione industriale (SCADA). Se quel fornitore cessa l’attività, viene acquisito da soggetto straniero o subisce a sua volta un incidente, l’operatore critico si trova esposto senza remediation contrattuale. Clausole di escrow del codice sorgente, obblighi di subappalto limitato e piani di continuità condivisi vanno negoziati in fase precontrattuale, non dopo l’incidente.
Domande frequenti
Quali obblighi ha un operatore NIS2 nella scelta dei fornitori tecnologici?
L’art. 24 del d.lgs. 138/2024 impone ai soggetti essenziali e importanti di valutare le vulnerabilità specifiche di ciascun fornitore ICT e le pratiche di sicurezza adottate. L’obbligo non si esaurisce nella scelta iniziale: richiede monitoraggio continuo e documentazione delle misure adottate, verificabile dall’ACN in sede di supervisione.
Un operatore critico risponde delle violazioni cyber causate da un fornitore esterno?
Sì, sotto il profilo regolatorio. Il d.lgs. 138/2024 attribuisce la responsabilità delle misure di sicurezza all’operatore, non al fornitore. Sul piano contrattuale, l’operatore può agire in rivalsa contro il fornitore inadempiente ex art. 1453 c.c., ma ciò non lo esonera dalla sanzione amministrativa, che può raggiungere 10 milioni di euro o il 2% del fatturato globale.
Cosa prevede la proposta CSA2 per i contratti con fornitori ICT di infrastrutture critiche?
La proposta di revisione del Cybersecurity Act introduce schemi di certificazione obbligatoria per prodotti e servizi ICT destinati a settori critici. Una volta adottata, le clausole contrattuali con fornitori non certificati rischieranno di essere considerate difformi da norme imperative, con possibili conseguenze sulla validità delle limitazioni di responsabilità pattuite.
Fonte di riferimento: AgendaDigitale