La sicurezza informatica di un’impresa non dipende più soltanto dalla protezione dei propri sistemi. Cloud provider, software house, società di assistenza IT, piattaforme digitali e altri fornitori possono accedere a dati, infrastrutture e processi aziendali e diventare, di conseguenza, un potenziale punto di ingresso per un attacco informatico.
È su questo presupposto che la Direttiva NIS2 (hinc, “la Direttiva”) ha attribuito particolare rilevanza alla cybersecurity della supply chain, imponendo alle organizzazioni interessate di considerare anche i rischi derivanti dai rapporti con fornitori e prestatori di servizi.
In Italia, il principio è stato recepito dal D.Lgs.vo 4 settembre 2024, n. 138: la sicurezza della catena di approvvigionamento rientra espressamente tra le misure di gestione del rischio che i soggetti essenziali e importanti devono adottare.
La conseguenza è significativa anche sul piano contrattuale: la cybersecurity compliancedeve essere espressamente prevista tramite specifiche clausole nei rapporti negoziali con i fornitori.
Direttiva NIS2 e supply chain: perché il fornitore diventa un rischio da gestire
L’art. 24 del D.Lgs.vo 138/2024 richiede ai soggetti essenziali e importanti l’adozione di misure tecniche, operative e organizzative adeguate e proporzionate alla gestione dei rischi informatici.
Tra queste rientra espressamente la sicurezza della catena di approvvigionamento, compresi gli aspetti di sicurezza relativi ai rapporti con i fornitori diretti e con i fornitori di servizi.
Non è quindi sufficiente proteggere il proprio perimetro aziendale. Occorre valutare anche le vulnerabilità specifiche dei fornitori, la qualità dei prodotti e dei servizi utilizzati e le pratiche di sicurezza informatica adottate dai partner tecnologici. Il contratto diventa così uno degli strumenti attraverso i quali governare il rischio cyber proveniente dall’esterno.
1. Due diligence: la cybersecurity va verificata prima del contratto
Il primo presidio dovrebbe precedere la firma.
La selezione di un fornitore, soprattutto quando questo può accedere a sistemi critici, dati o infrastrutture aziendali, non dovrebbe essere fondata esclusivamente su prezzo, qualità e continuità del servizio.
La due diligence sul fornitore dovrebbe verificare, in misura proporzionata alla criticità del servizio, le procedure di sicurezza adottate, le modalità di gestione delle vulnerabilità e degli incidenti, le eventuali certificazioni, le procedure di sviluppo sicuro del software e il ricorso a subfornitori.
Per i fornitori maggiormente critici può essere opportuno prevedere questionari di sicurezza, acquisizione di certificazioni o report di audit e una classificazione preventiva del rischio.
L’obiettivo è poter dimostrare che la scelta del fornitore è avvenuta attraverso un processo ragionevole, documentato e coerente con il livello di rischio.
2. Requisiti minimi di cybersecurity
Il contratto dovrebbe individuare con sufficiente precisione gli standard di sicurezza che il fornitore è tenuto a rispettare.
Formule generiche come “il fornitore garantisce adeguati livelli di sicurezza” rischiano infatti di essere poco efficaci quando occorre stabilire se vi sia stato o meno un inadempimento.
A seconda del servizio, possono essere disciplinati requisiti relativi alla gestione degli accessi, autenticazione multi fattore, cifratura, patch management, backup, business continuity, gestione delle vulnerabilità, segregazione degli ambienti e formazione del personale.
I requisiti devono naturalmente essere calibrati sul rischio concreto: un provider che gestisce infrastrutture essenziali richiede presidi diversi rispetto a un fornitore che non ha alcun accesso ai sistemi informativi aziendali.
3. Service Level Agreement (hinc, gli “SLA”): non solo disponibilità del servizio
Gli SLA sono tradizionalmente utilizzati per stabilire disponibilità, prestazioni e tempi di ripristino del servizio.
In un contratto coerente con una moderna strategia di cybersecurity, gli SLA possono però assumere una funzione ulteriore. Ad esempio, tempi massimi per la gestione delle vulnerabilità, applicazione delle patch, presa in carico degli incidenti, ripristino dei sistemi e comunicazione delle anomalie. In questo modo un requisito tecnico viene trasformato in una prestazione contrattualmente misurabile, rendendo più semplice verificarne l’adempimento.
4. Obblighi di notifica dei sinistri
Una delle clausole più importanti riguarda la comunicazione dei sinistri.
L’impresa soggetta alla Direttiva può essere tenuta a rispettare precisi obblighi di notifica alle autorità competenti. Se il sinistro nasce presso un fornitore, un’informazione ricevuta troppo tardi può rendere molto più complesso rispettare tali obblighi.
Per questa ragione il contratto dovrebbe imporre al fornitore di comunicare senza indebito ritardo i sinistri che possano incidere sulla sicurezza dei sistemi dell’organizzazione.
La clausola dovrebbe inoltre stabilire quali informazioni devono essere trasmesse, attraverso quali canali, a quali referenti e con quali successivi aggiornamenti.
Non basta quindi prevedere che il fornitore “comunichi il data breach”: l’obbligo dovrebbe riguardare più ampiamente i sinistri cyber rilevanti, anche quando non comportano necessariamente una violazione di dati personali.
5. Audit e verifiche sul fornitore
La cybersecurity compliance non può esaurirsi nella sottoscrizione del contratto.
Occorre poter verificare nel tempo che le condizioni di sicurezza dichiarate dal fornitore continuino a essere rispettate.
Per questo assumono rilievo le clausole di audit, che possono riconoscere all’impresa il diritto di effettuare verifiche direttamente o attraverso soggetti terzi, oppure di ottenere periodicamente audit report, certificazioni e altra documentazione idonea a dimostrare il mantenimento dei requisiti concordati.
Anche in questo caso è opportuno adottare un criterio di proporzionalità, evitando procedure eccessivamente invasive per fornitori a basso rischio e prevedendo controlli più stringenti per quelli strategici.
6. Subfornitura: controllare anche il rischio “a cascata”
Uno dei problemi più delicati della cybersecurity supply chain riguarda la subfornitura.
L’impresa può infatti aver selezionato attentamente il proprio fornitore diretto, ma quest’ultimo potrebbe affidare parte delle attività a ulteriori soggetti sui quali il cliente non ha effettuato alcuna verifica.
Il contratto dovrebbe quindi disciplinare espressamente il ricorso ai subfornitori, stabilendo quando sia consentito, quali informazioni debbano essere comunicate al cliente e quali requisiti di cybersecurity debbano essere rispettati.
Un principio cardine è quello del flow-down contrattuale: gli obblighi di sicurezza imposti al fornitore principale devono essere trasferiti, per quanto applicabili, anche ai subfornitori coinvolti nell’erogazione del servizio. In questo modo si riduce il rischio che gli standard di sicurezza si indeboliscano procedendo lungo la catena di fornitura.
7. Vulnerabilità, aggiornamenti e patch
Un software sicuro al momento della consegna può diventare vulnerabile pochi mesi dopo.
Per questo il contratto dovrebbe disciplinare anche il ciclo di vita della sicurezza del prodotto o del servizio.
È opportuno stabilire chi deve monitorare le vulnerabilità, entro quali termini devono essere corrette, per quanto tempo devono essere garantiti gli aggiornamenti di sicurezza e con quali modalità il cliente deve essere informato delle vulnerabilità rilevanti. Per i servizi e i prodotti più critici possono inoltre essere previsti specifici obblighi di cooperazione nella gestione delle vulnerabilità e dei sinistri.
8. Responsabilità contrattuale e conseguenze dell’inadempimento
Gli obblighi di cybersecurity devono infine essere accompagnati da un sistema coerente di responsabilità contrattuale. Il contratto dovrebbe chiarire quali conseguenze derivino dalla violazione degli standard di sicurezza, degli SLA o degli obblighi di notifica e cooperazione.
A seconda del rapporto possono essere previsti rimedi quali obblighi di remediation, penali, risarcimento del danno, sospensione del servizio o risoluzione del contratto nei casi più gravi.
Particolare attenzione richiedono le clausole di limitazione della responsabilità: una limitazione eccessivamente ampia potrebbe trasferire sul cliente una parte significativa del rischio economico derivante da un sinistro riconducibile al fornitore.
9. Cosa accade alla fine del contratto
Alla cessazione del rapporto occorre stabilire come devono essere restituiti o cancellati dati, credenziali e informazioni, come devono essere revocati gli accessi e quali obblighi di collaborazione restano efficaci durante la migrazione verso un nuovo fornitore.
È un aspetto spesso sottovalutato, ma cruciale nei rapporti con cloud provider, software house e fornitori che gestiscono infrastrutture o informazioni strategiche.
Dalla cybersecurity tecnica alla cybersecurity contrattuale
La Direttiva consolida un cambiamento già in corso: la cybersecurity non è più soltanto una questione affidata al reparto IT.
La gestione del rischio coinvolge governance, procurement, ufficio legale, compliance e funzioni tecniche. Il contratto con il fornitore diventa uno dei punti di raccordo tra queste competenze.
La logica è semplice: se una parte dell’infrastruttura digitale dell’impresa dipende da soggetti esterni, anche gli obblighi di sicurezza devono estendersi lungo la supply chain. Per le organizzazioni interessate dalla Direttiva diventa quindi opportuno mappare i fornitori critici, classificarli in base al rischio e revisionare i contratti esistenti, introducendo clausole proporzionate alla rilevanza dei servizi prestati.
La cybersecurity compliance, in altri termini, non termina più ai confini dell’azienda: prosegue lungo l’intera catena dei soggetti dai quali dipendono dati, sistemi e continuità operativa.