La sicurezza della catena di fornitura è uno dei punti più concreti della direttiva NIS2: l’articolo 21 chiede ai soggetti essenziali e importanti di gestire il rischio che arriva dai propri fornitori. In pratica, buona parte di questo obbligo si traduce in clausole da inserire nei contratti. Ecco le più utili, pensate per chi deve adeguare i contratti già in essere e quelli nuovi.
Perché le clausole contano
NIS2 sposta parte della responsabilità sul rapporto con i fornitori: non basta scegliere bene, bisogna poter dimostrare che il rapporto è governato. In Italia la Determinazione ACN n. 127437/2026 ha introdotto il concetto di fornitori rilevanti, rendendo ancora più utile avere contratti che dicano chi fa cosa quando qualcosa va storto.
Le clausole da inserire
- Requisiti minimi di sicurezza: misure tecniche e organizzative attese dal fornitore (gestione accessi, cifratura, segregazione, gestione delle vulnerabilità).
- Notifica degli incidenti: obbligo di comunicare gli incidenti che ti riguardano in tempi compatibili con i tuoi obblighi verso l’autorità (l’allerta entro 24 ore e la notifica entro 72 ore).
- Diritto di audit e verifica: possibilità di richiedere evidenze, questionari o audit, diretti o tramite terze parti.
- Certificazioni e standard: ad esempio ISO/IEC 27001, con obbligo di mantenerle valide e di comunicarne la decadenza.
- Gestione del subappalto: autorizzazione preventiva e obbligo di trasferire gli stessi requisiti ai sub-fornitori (flow-down).
- Patching e gestione vulnerabilità: tempi di intervento (SLA) per le correzioni di sicurezza, soprattutto su quelle critiche.
- Localizzazione e trattamento dei dati: dove sono conservati i dati e a quali condizioni, in coordinamento con gli obblighi privacy.
- Continuità operativa: piani di business continuity e disaster recovery, con obiettivi di ripristino dichiarati.
- Uscita dal contratto: restituzione o cancellazione certificata dei dati al termine del rapporto.
- Responsabilità e cooperazione: impegno a collaborare in caso di incidente e ripartizione delle responsabilità.
Da dove cominciare
Conviene partire dai fornitori che trattano dati o servizi più critici, inserendo le clausole nei rinnovi e in un addendum per i contratti già attivi. Un registro dei fornitori con il livello di criticità aiuta a decidere dove serve un contratto più stringente e dove basta una clausola standard.
Questa è una guida di orientamento, non un parere legale: per i testi contrattuali definitivi confrontati sempre con il tuo ufficio legale.