Il Ddl Difesa introduce una nozione autonoma di spazio cibernetico di interesse nazionale che include reti, sistemi OT e piattaforme militari connesse. Gli studi che assistono fornitori della difesa o operatori di infrastrutture critiche devono verificare subito se i propri clienti rientrano nel nuovo perimetro. La norma non è ancora in vigore, ma la fase di adeguamento normativo è il momento giusto per anticipare audit contrattuali e revisione delle clausole di sicurezza.
Punti chiave
- Punto 1 — Il Ddl Difesa estende il perimetro cyber a reti, dati, sistemi OT e piattaforme militari connesse.
- Punto 2 — Gli operatori critici già soggetti al Perimetro NIS2 potrebbero subire obblighi sovrapposti e duplicati.
- Punto 3 — I contratti con la Difesa vanno riletti alla luce dei nuovi requisiti di interoperabilità con ACN e CSIRT Italia.
Se il tuo studio assiste fornitori della Difesa, gestori di infrastrutture critiche o operatori che erogano servizi digitali alla PA militare, il Ddl Difesa apre un cantiere contrattuale da presidiare adesso. Il nuovo perimetro cyber non è una declaratoria di principio: porta con sé obblighi di notifica, requisiti tecnici e, inevitabilmente, clausole contrattuali da riscrivere.
Il disegno di legge delega il Governo a definire lo “spazio cibernetico di interesse nazionale”, che comprende reti militari, dati operativi, sistemi OT e piattaforme connesse alle forze armate. La notizia è analizzata in dettaglio da Agenda Digitale, che segnala la sfida di coordinamento con ACN, CSIRT Italia e il quadro europeo.
Il contesto normativo
Il quadro di riferimento parte dal d.lgs. 138/2024, che recepisce la Direttiva NIS2 (UE 2022/2555) e individua le categorie di soggetti essenziali e importanti soggetti a obblighi di sicurezza informatica e notifica degli incidenti. Parallelamente, il d.l. 105/2019 (convertito dalla l. 133/2019) ha istituito il Perimetro di Sicurezza Nazionale Cibernetica, con il d.p.c.m. 131/2020 che ne definisce i criteri di inclusione. Il Ddl Difesa si innesta su questo doppio binario e aggiunge una terza fascia — quella militare — che ancora non dispone di decreti attuativi propri. Il rischio concreto è una stratificazione normativa in cui lo stesso operatore risponde a tre regimi distinti con autorità diverse: ACN per NIS2, PCM per il Perimetro, e ora la catena di comando della Difesa per il nuovo spazio cibernetico.
Cosa cambia per lo studio
- Mappatura dei clienti esposti. Verifica subito quali clienti forniscono servizi, software o infrastrutture alle forze armate o a enti strumentali della Difesa: rientrano potenzialmente nel nuovo perimetro anche in assenza di un contratto diretto con il Ministero.
- Revisione dei contratti di fornitura ICT. Le clausole standard di sicurezza informatica nei contratti con la PA difesa vanno aggiornate per includere obblighi di interoperabilità con ACN e CSIRT Italia, oltre ai requisiti tecnici che i decreti attuativi fisseranno.
- Doppio binario NIS2 + perimetro militare. Un cliente già notificato come soggetto essenziale ai sensi del d.lgs. 138/2024 potrebbe trovarsi soggetto a obblighi aggiuntivi e a una seconda autorità di vigilanza. Segnala questa sovrapposizione e avvia un’analisi di conformità integrata.
- Clausole di responsabilità nei contratti di subappalto. Se il cliente opera come prime contractor verso la Difesa e subappalta componenti IT, le clausole di responsabilità solidale per violazioni cyber diventano un punto negoziale critico da presidiare ora, prima che i decreti attuativi rendano gli obblighi esigibili.
- Monitoraggio della fase attuativa. Il Ddl è ancora in iter parlamentare. Tieni un calendario di scadenze legislative: i decreti delegati avranno probabilmente termini di 12-18 mesi dall’entrata in vigore della legge, ma i contratti pluriennali in corso di rinnovo devono già incorporare clausole di adeguamento automatico.
Attenzione a
Sovrapposizione di competenze tra ACN e Difesa. La norma non chiarisce ancora quale autorità prevale in caso di incidente che coinvolge reti sia civili che militari. Consigliare ai clienti di attendere i decreti attuativi prima di strutturare i presidi interni è una scelta rischiosa: gli audit contrattuali della PA non aspettano la certezza normativa, e una lacuna documentale può già oggi tradursi in responsabilità precontrattuale o inadempimento.
Notifiche degli incidenti con doppio destinatario. Sotto NIS2 recepita dal d.lgs. 138/2024, le notifiche vanno al CSIRT Italia entro 24 ore per gli early warning e 72 ore per la notifica completa. Se il nuovo perimetro militare introduce canali paralleli, il cliente che notifica solo a uno dei due destinatari potrebbe essere in violazione verso l’altro. Definisci già ora una procedura interna che contempli entrambi i flussi.
Domande frequenti
Chi rientra nel nuovo spazio cibernetico di interesse nazionale del Ddl Difesa?
In base al testo attuale, rientrano le reti, i sistemi OT, i dati e le piattaforme connesse alle forze armate. Il perimetro esatto sarà definito dai decreti attuativi, ma già oggi i fornitori ICT della Difesa e i gestori di infrastrutture a uso duale — civile e militare — devono considerarsi potenzialmente inclusi e avviare una mappatura preventiva.
Un operatore già soggetto a NIS2 deve adempiere anche al perimetro cyber militare?
Sì, i due regimi sono cumulativi e non alternativi. Il d.lgs. 138/2024 che recepisce NIS2 e il nuovo perimetro militare del Ddl Difesa si applicano in parallelo. Un soggetto essenziale già notificato ad ACN potrebbe dover rispettare obblighi aggiuntivi verso la catena di comando della Difesa, con possibili duplicazioni nelle notifiche di incidente e nei requisiti tecnici.
Cosa devo inserire nei contratti ICT con la Difesa alla luce del Ddl?
Prima ancora dei decreti attuativi, inserisci clausole di adeguamento automatico ai futuri requisiti tecnici, obblighi di notifica verso ACN e CSIRT Italia entro i termini NIS2 (24 ore per early warning, 72 ore per notifica completa), e clausole di responsabilità nei subappalti per violazioni del perimetro cyber. Evita clausole che limitino la responsabilità in caso di incidente non notificato nei termini.
Fonte di riferimento: AgendaDigitale