Il Decreto NIS, attuativo della Direttiva NIS2, impone ai soggetti essenziali e importanti specifici obblighi di governance, gestione del rischio cyber e notifica degli incidenti. Le FAQ ACN aggiornate chiariscono che la sicurezza della supply chain deve essere gestita con approccio risk-based, valutando l’impatto concreto delle forniture su dati, sistemi e servizi.
Il D.Lgs. n. 138/2024 (di seguito «Decreto NIS» oppure «Decreto»), che ha recepito la Direttiva (UE) 2022/2555 sulla Cybersicurezza, ha l’obiettivo primario di garantire l’aumento del livello di sicurezza informatica del tessuto produttivo e delle Pubbliche amministrazioni.
Il Decreto prevede specifici adempimenti per i c.d. Soggetti NIS, che sono distinti in 2 categorie principali: soggetti essenziali e soggetti importanti, classificati a seconda de:
- livello di criticità intrinseca dei settori;
- tipologie di soggetti in relazione al rischio informatico; e
- dimensionamento.
A livello operativo, gli artt. 23, 24 e 25 del decreto disciplinano rispettivamente:
- gli obblighi per gli organi di amministrazione e direttivi;
- le misure di gestione dei rischi per la sicurezza informatica; e
- le notifiche di incidente con impatto significativo al CSIRT Italia.
Le modalità e le specifiche di base per l’adempimento di questi obblighi sono state definite dall’Agenzia per la Cybersicurezza Nazionale (ACN) attraverso un set documentale rigoroso che impone l’adozione di specifiche misure di sicurezza organizzative e tecnologiche, oltre a un processo strutturato per la gestione degli incidenti informatici.
Per i soggetti inseriti nel 2025 nell’elenco nazionale dei soggetti NIS (ovvero quei soggetti che hanno ricevuto la comunicazione di inserimento), il termine per l’adozione delle misure di sicurezza di base è fissato in 18 mesi dalla ricezione della comunicazione, mentre per la notifica degli incidenti il termine è di 9 mesi.
Per i soggetti inseriti per la prima volta nel 2026, il termine per l’adozione delle misure di sicurezza è il 31 luglio 2027, e per l’obbligo di notifica degli incidenti è il 1° gennaio 2027.
La stessa ACN ha emanato una serie di FAQ (Frequently Asked Questions) a beneficio dei soggetti che devono applicare la normativa e il 24 luglio 2026 ha aggiornato quelle relative alle misure di sicurezza per la «supply chain» dei soggetti NIS2.
Sono stati pubblicati nuovi chiarimenti interpretativi sul processo e i requisiti di sicurezza da implementare per proteggere la «sicurezza della catena di approvvigionamento», con l’obiettivo di agevolarne l’applicazione da parte dei soggetti interessati.
Le novità interpretative riguardano le FAQ MSB (Misure di Sicurezza di Base) dalla 13 alla 19.
L’adozione di misure di sicurezza adeguate a protezione della catena di approvvigionamento è un adempimento fondamentale per i soggetti NIS.
Sulla base delle FAQ MSB, la gestione dei fornitori non deve seguire un approccio indiscriminato, ma un modello «risk-based» che valuti l’effettivo impatto di ogni fornitura sulla sicurezza delle informazioni.
Qui di seguito vengono illustrate e analizzate le fasi del processo, i criteri di valutazione e le regole di applicazione per contratti e scenari specifici.
Le 4 fasi del processo (FAQ MSB.13)
Per garantire la sicurezza della catena di approvvigionamento, le misure di base delineano un processo metodologico articolato in quattro fasi sequenziali:
- valutazione del rischio: il rischio associato alla specifica fornitura deve essere accuratamente valutato e documentato;
- identificazione dei requisiti: sulla base degli esiti della valutazione, vengono definiti requisiti di sicurezza per la fornitura che siano coerenti con le misure già applicate dal soggetto NIS ai propri sistemi;
- enforcement dei requisiti: i requisiti individuati devono essere inseriti formalmente in tutta la documentazione di affidamento (richieste di offerta, bandi di gara, accordi quadro, contratti), fatte salve motivate ragioni tecniche o normative;
- verifica dei requisiti: la conformità della fornitura ai requisiti contrattualizzati deve essere verificata periodicamente e documentata.
Fase 1 – Valutazione del rischio: i criteri (FAQ MSB.14)
Ai fini di una corretta valutazione del rischio associato alla fornitura (Fase 1), è necessario prendere in considerazione un set di criteri minimi:
Il livello di accesso del fornitore ai sistemi informativi e di rete del soggetto NIS:
- l’accesso del fornitore alla proprietà intellettuale e ai dati, ponderato sulla base della loro criticità;
- l’impatto derivante da una potenziale grave interruzione della fornitura;
- i tempi e i costi di ripristino necessari in caso di indisponibilità dei servizi;
- i ruoli e le responsabilità del fornitore nel governo generale dei sistemi informativi e di rete.
Fase 2 – Modulazione ed enforcement dei requisiti (FAQ MSB.15, 16 e 17)
Il framework normativo non richiede un’applicazione rigida e universale delle misure di sicurezza, ma prevede che queste siano proporzionate e pertinenti al contesto:
- ambito di applicazione (FAQ MSB.15): non è richiesto che i requisiti di sicurezza siano definiti per tutte le forniture. L’obbligo sussiste solo per le forniture con potenziali impatti sulla sicurezza, ovvero quelle in cui una compromissione potrebbe intaccare la disponibilità, l’autenticità, l’integrità o la riservatezza dei dati e dei servizi erogati;
- flessibilità contrattuale (FAQ MSB.16): non è necessario inserire nei contratti tutti i requisiti previsti dalle misure di base, né è obbligatorio riportare testualmente il testo delle misure NIS. È sufficiente recepirne il contenuto sostanziale, in coerenza con la valutazione del rischio e le misure interne;
- esclusione per servizi a basso rischio (FAQ MSB.17): l’applicazione delle categorie di misure (come stabilito dall’art. 24 del decreto NIS) può essere modulata fino all’«esclusione» in base al rischio e alla criticità.
Ad esempio, per servizi puramente non-ICT (es. pulizie, vigilanza senza videosorveglianza, progettazione senza metodologia BIM), i requisiti devono essere coerenti con il concreto profilo di rischio, evitando obblighi generalizzati.
FASI 3 e 4 – Casistiche specifiche (FAQ MSB.18 e 19)
L’applicazione dei requisiti di sicurezza deve essere modulata tenendo conto della loro proporzionalità, pertinenza e adeguatezza rispetto alle specifiche prestazioni affidate, evitando l’imposizione generalizzata di obblighi non coerenti con la natura dell’affidamento o con il rischio di cybersicurezza concretamente rilevabile.
La necessità di calibrare i requisiti di sicurezza rispetto al rischio reale si applica anche a configurazioni aziendali e contrattuali complesse come:
- Raggruppamenti Temporanei di Imprese (RTI);
- Contratti Misti.
Nell’ambito dei «Raggruppamenti Temporanei di Imprese (RTI)», le misure di sicurezza devono essere soddisfatte solo dai componenti dell’RTI (o consorzio) che erogano, anche solo parzialmente, le prestazioni con impatto sulla sicurezza informatica.
Ciò tenuto conto dei diversi ruoli e delle possibili ripartizioni delle attività nell’ambito del RTI medesimo, nonché dei principi di accountability, adeguatezza e proporzionalità nella gestione del rischio di cui alla normativa NIS2 e in coerenza con un approccio «risk-based».
Nel caso di «Contratti Misti» in cui coesistono prestazioni diverse (es. componenti ICT e non-ICT), i requisiti di sicurezza devono essere applicati in modo proporzionato e pertinente alle specifiche prestazioni affidate.
