Clausole di sicurezza NIS2 per i contratti con i fornitori

Cos'è questo allegato

È un allegato di sicurezza da unire ai contratti con i fornitori che toccano i vostri sistemi: assistenza informatica, cloud, software gestionale, servizi di sicurezza gestiti, connettività. In 17 articoli fissa cosa il fornitore deve garantire su accessi, incidenti, aggiornamenti, backup, subfornitori, verifiche e restituzione dei dati alla fine del contratto.

I valori da negoziare, come le ore entro cui il fornitore vi avvisa di un incidente o i giorni per installare un aggiornamento critico, sono tra parentesi quadre ed evidenziati: sono proposte da adattare al rischio della fornitura, non obblighi di legge.

Quale norma le chiede

L'articolo 24 del d.lgs. 138/2024 mette tra le misure obbligatorie la sicurezza della catena di approvvigionamento, compresi gli aspetti di sicurezza dei rapporti con i fornitori (comma 2, lettera d). La determinazione ACN 379907/2025 lo traduce in tre misure:

• GV.SC-01: requisiti di sicurezza per le forniture, fissati in base al rischio; per gli essenziali vanno considerati, se applicabili, diciassette ambiti, dalla a) alla q);
• GV.SC-05: quei requisiti vanno inseriti in richieste d'offerta, contratti, ordini e accordi, salvo ragioni normative o tecniche motivate e documentate;
• GV.SC-07: il rischio di ogni fornitura va valutato, e va verificato periodicamente che il fornitore rispetti i requisiti.

Secondo l'ACN i contratti firmati prima del termine per le misure non vanno rifatti subito: si aggiornano al rinnovo (FAQ ACN MSB.12).

Come si usa

1. Partite dall'elenco dei fornitori. Individuate quelli che possono incidere sulla sicurezza e, tra questi, i critici: accesso ai sistemi, accesso ai dati, impatto di un fermo.
2. Scegliete le clausole in base al rischio. Un fornitore di connettività non sviluppa software; un fornitore cloud ha bisogno di regole precise su dati e restituzione. Togliete ciò che non serve e scrivete perché.
3. Negoziate i valori. Il tempo di avviso degli incidenti deve lasciarvi margine per le vostre 24 ore. Livelli di servizio e tempi di ripristino devono essere coerenti con il vostro piano di disaster recovery.
4. Unitelo al contratto. Nelle nuove forniture, già nella richiesta d'offerta; per i contratti in corso, al rinnovo o alla proroga.
5. Verificate ogni anno i critici. La tabella finale collega ogni articolo alle 24 domande della verifica annuale del fornitore, 8 delle quali critiche.

Errori comuni

• Mandare la stessa clausola a tutti. I requisiti si fissano in base al rischio della fornitura (GV.SC-01): proporzionati, e quindi accettabili dal fornitore.
• Dimenticare i tempi di avviso degli incidenti. Se il fornitore vi avvisa dopo due giorni, le vostre 24 ore sono già passate.
• Confondere l'allegato con l'accordo privacy. Se il fornitore tratta dati personali per voi serve anche l'accordo dell'art. 28 del GDPR: le clausole lo richiamano, non lo sostituiscono.
• Firmare e non controllare più. La misura GV.SC-07 chiede verifiche periodiche documentate: un questionario annuale con le prove è il minimo.

Approfondite nella guida sui fornitori e la catena di fornitura.