Fornitori e catena di approvvigionamento: cosa chiariscono le nuove FAQ dell'ACN

Il 24 luglio 2026 l'ACN ha pubblicato nuove FAQ sulle misure di sicurezza per la catena di approvvigionamento dei soggetti NIS, da MSB.13 a MSB.19. Non introducono obblighi nuovi: spiegano come applicare le misure di base sui fornitori (GV.SC-01, GV.SC-05 e GV.SC-07 della determinazione ACN 379907/2025) e soprattutto cosa non è richiesto. Sono utili a chi compra servizi e prodotti informatici, alle pubbliche amministrazioni che fanno gare e ai fornitori che si vedono arrivare clausole sempre più lunghe.

Cosa chiariscono

Il processo in quattro fasi (MSB.13)

1. Valutazione del rischio della fornitura, documentata (GV.SC-07, punto 1).
2. Requisiti di sicurezza definiti in base a quella valutazione e coerenti con le misure che applicate ai vostri sistemi (GV.SC-01, punto 1).
3. Inserimento dei requisiti in richieste di offerta, bandi di gara, accordi quadro, contratti e convenzioni per le forniture con potenziali impatti sulla sicurezza, salvo motivate e documentate ragioni normative o tecniche (GV.SC-05, punto 1).
4. Verifica periodica, documentata, che le forniture rispettino i requisiti (GV.SC-07, punto 2).

I criteri minimi per valutare il rischio (MSB.14)

Almeno cinque: il livello di accesso del fornitore ai vostri sistemi; il suo accesso alla proprietà intellettuale e ai dati, secondo la loro criticità; l'impatto di una grave interruzione della fornitura; tempi e costi di ripristino se il servizio non è disponibile; i ruoli e le responsabilità del fornitore nel governo dei sistemi.

Non tutte le forniture, non tutti i requisiti (MSB.15 e MSB.16)

I requisiti servono solo per le forniture con potenziali impatti sulla sicurezza, cioè quelle la cui compromissione può incidere sulla capacità dei sistemi di resistere agli eventi che ne minacciano disponibilità, autenticità, integrità o riservatezza (FAQ MSB.8). E nei contratti non vanno messi necessariamente tutti i requisiti delle misure di base, né copiato il loro testo: basta che i requisiti ne recepiscano il contenuto sostanziale, in proporzione al rischio della fornitura.

Pubbliche amministrazioni, RTI e contratti misti (MSB.17-MSB.19)

Le categorie di misure dell'art. 24 del decreto vanno modulate secondo il contesto, il rischio e la criticità dei servizi affidati, fino a escluderne alcune: per un servizio di pulizia o di vigilanza senza strumenti digitali i requisiti al fornitore devono essere coerenti con l'oggetto (MSB.17). Se l'aggiudicatario è un raggruppamento temporaneo di imprese, le misure le soddisfano solo le imprese che eseguono, anche in parte, la prestazione con impatti sulla sicurezza (MSB.18). Nei contratti misti, con parti ICT e non ICT, i requisiti vanno applicati in modo proporzionato alle singole prestazioni (MSB.19).

Resta valida la FAQ precedente sui contratti in essere (MSB.12): non è obbligatorio rinegoziarli; i requisiti vanno inseriti nei contratti stipulati, rinnovati o prorogati dal termine per l'adozione delle misure.

Chi riguarda

• Tutti i soggetti NIS, per gli acquisti di servizi e prodotti che toccano i loro sistemi.
• Le pubbliche amministrazioni e le società pubbliche che affidano servizi con gare, per cui le FAQ MSB.17-MSB.19 sono state scritte in modo esplicito.
• I fornitori, anche se non sono soggetti NIS: le FAQ confermano che le clausole devono essere proporzionate, non un elenco generico.

Cosa fare

1. Separate le forniture con impatti sulla sicurezza da tutte le altre, partendo dall'inventario dei fornitori (GV.SC-04).
2. Valutatele con i cinque criteri della FAQ MSB.14, dentro la vostra valutazione del rischio.
3. Preparate clausole a livelli, più leggere o più pesanti secondo il rischio, da usare a ogni nuovo contratto, rinnovo o proroga. Un punto di partenza è il modello di clausole per i fornitori.
4. Pianificate le verifiche e conservatene l'esito.
5. Non confondete questo lavoro con l'elenco dei fornitori rilevanti da comunicare all'ACN nell'aggiornamento annuale: i criteri sono diversi.

Il quadro completo, anche dal punto di vista del fornitore informatico, è in NIS2 e fornitori.

La fonte ufficiale

Questo articolo riassume e commenta un atto o una notizia pubblicati dall'Agenzia per la cybersicurezza nazionale. Il testo di riferimento è ACN, «Aggiornate le FAQ ACN sulle misure di sicurezza per la supply chain dei soggetti NIS», 24 luglio 2026, su acn.gov.it. La data in testa alla pagina è quella della fonte; il nostro testo è aggiornato il 13 novembre 2026.