Non tutti i requisiti devono essere trasferiti a ogni fornitore e non emerge un obbligo generalizzato di riaprire i contratti in corso: la supply chain va governata con un processo documentato e proporzionato al rischio.
Sommario
Le FAQ ACN MSB.12–MSB.19 chiariscono come applicare le misure di sicurezza di base alla catena di approvvigionamento. Il contratto non è il punto di partenza: prima occorre valutare il rischio della specifica fornitura, individuare i requisiti pertinenti e proporzionati, inserirli negli atti di affidamento e negli accordi quando necessario e verificarne l’effettiva attuazione. I chiarimenti affrontano anche contratti già in essere, RTI e consorzi, servizi non ICT e contratti misti. Per i soggetti NIS diventa essenziale documentare non solo le clausole adottate, ma anche il percorso che ha portato a selezionarle.
“Quale clausola NIS2 dobbiamo mettere nei contratti?” è una delle domande che più spesso emergono nei percorsi di adeguamento.
Le FAQ ACN dedicate alle misure di sicurezza della supply chain mostrano però che la domanda, posta così, parte dal punto sbagliato. Non esiste una clausola universale da inserire in modo identico in ogni contratto. Il requisito contrattuale arriva dopo la valutazione del rischio e deve essere coerente con la concreta fornitura, con gli accessi, i dati, le dipendenze e l’impatto potenziale sui sistemi e sui servizi NIS.
È una precisazione particolarmente importante per imprese e Pubbliche Amministrazioni che stanno aggiornando capitolati, schemi contrattuali, procedure di procurement e sistemi di vendor management.
La sicurezza della supply chain è un processo, non una clausola
La FAQ MSB.13 ricostruisce il processo di gestione del rischio della catena di approvvigionamento in quattro fasi:
- valutazione del rischio associato alla fornitura;
- individuazione dei requisiti di sicurezza;
- inserimento dei requisiti nelle richieste di offerta, nei bandi di gara, nei contratti e negli accordi;
- verifica della conformità della fornitura ai requisiti individuati.
La sequenza è importante perché impedisce di iniziare dalla modulistica contrattuale.
Una clausola standard inserita senza aver prima compreso il rischio può risultare eccessiva, insufficiente o semplicemente non pertinente. Allo stesso modo, un requisito correttamente inserito nel contratto ma mai verificato durante l’esecuzione rimane soltanto una previsione formale.
La gestione NIS2 della supply chain deve quindi collegare risk assessment, procurement, contratto ed evidenze di verifica.
I cinque criteri minimi per valutare il rischio della fornitura
La MSB.14 richiama cinque elementi minimi da considerare nella valutazione della specifica fornitura:
- il livello di accesso del fornitore ai sistemi informativi e di rete;
- l’accesso alla proprietà intellettuale e ai dati, anche in funzione della loro criticità;
- l’impatto di una grave interruzione della fornitura;
- tempi e costi di ripristino in caso di indisponibilità;
- ruoli e responsabilità del fornitore nel governo dei sistemi informativi e di rete.
Il rischio non coincide quindi con una qualità astratta del fornitore. Uno stesso operatore può presentare livelli di rischio differenti a seconda del servizio erogato, degli accessi concessi e della dipendenza operativa che si crea.
Una certificazione, una visura o un questionario generale possono contribuire alla valutazione, ma non sostituiscono l’analisi della relazione concreta tra fornitura e perimetro NIS del cliente.
Non tutte le forniture richiedono requisiti di sicurezza specifici
La MSB.15 chiarisce che non occorre definire requisiti cyber per ogni singola fornitura in modo indiscriminato. Il presidio deve concentrarsi sugli affidamenti che possono avere un impatto sulla sicurezza dei sistemi informativi e di rete.
Questo richiede comunque uno screening iniziale. Un servizio classificato come “non ICT” può infatti utilizzare piattaforme digitali, dispositivi connessi, credenziali, accessi remoti o dati critici e diventare rilevante sotto il profilo cyber.
Un modello efficace può quindi distinguere:
- uno screening di primo livello, applicato in modo semplice all’intero portafoglio fornitori;
- una valutazione approfondita, riservata alle forniture per le quali emergono potenziali impatti sulla sicurezza.
Anche l’esclusione di una fornitura dai requisiti specifici deve essere spiegabile e ricostruibile.
Non bisogna trasferire automaticamente tutte le misure al fornitore
Le FAQ MSB.16 e MSB.17 rafforzano il principio di proporzionalità.
I requisiti contrattuali devono essere selezionati e adattati in funzione della specifica fornitura. Non è necessario trasformare tutte le misure applicabili al soggetto NIS in un elenco da ribaltare integralmente sul fornitore, né riprodurne meccanicamente il testo.
Il passaggio corretto è tradurre il rischio e le misure pertinenti in obblighi contrattuali comprensibili, verificabili e proporzionati.
Può essere utile predisporre una matrice che colleghi:
- rischio individuato;
- misura ACN pertinente;
- requisito richiesto alla fornitura;
- documento nel quale il requisito è inserito;
- evidenza attesa in fase di verifica.
Questo consente di dimostrare perché un requisito è stato applicato, adattato o ritenuto non pertinente.
Contratti già in essere: nessuna riapertura generalizzata
La MSB.12 affronta il tema dei contratti già stipulati.
Il chiarimento esclude un automatismo secondo cui tutti i contratti in corso dovrebbero essere rinegoziati retroattivamente soltanto perché diventano applicabili le misure NIS2 sulla supply chain.
L’inserimento dei requisiti assume invece rilievo per i contratti stipulati, rinnovati o prorogati a partire dal termine previsto per l’adozione delle misure di sicurezza, salvo motivate e documentate ragioni normative o tecniche previste dal quadro applicabile.
Questo non significa che i contratti esistenti possano essere ignorati. Le forniture che regolano devono comunque entrare nel processo di valutazione del rischio, perché possono generare dipendenze, accessi o vulnerabilità da governare anche quando non è necessario modificare immediatamente il testo contrattuale.
Per i soggetti NIS inseriti nell’elenco ACN nel 2025 l’orizzonte temporale dell’adozione delle misure deriva dal termine individuale previsto dalla Determinazione ACN n. 379907/2025; per i soggetti inseriti nell’elenco nel 2026 la Determinazione ACN n. 127434/2026 fissa il termine al 31 luglio 2027.
RTI e consorzi: conta chi esegue la prestazione che genera il rischio
La MSB.18 affronta raggruppamenti temporanei di imprese, consorzi stabili e altre forme consortili.
Il criterio operativo è collegare le misure ai componenti che eseguono, anche solo in parte, le prestazioni con potenziale impatto sulla sicurezza informatica. Non è quindi corretto imporre automaticamente lo stesso set di requisiti a tutte le imprese del raggruppamento senza considerare il ruolo effettivamente svolto.
La documentazione contrattuale deve però consentire di capire:
- chi esegue la prestazione rilevante;
- quali requisiti gli sono applicabili;
- chi coordina gli adempimenti;
- quali evidenze devono essere prodotte;
- come viene verificata la conformità durante l’esecuzione.
Contratti misti: i requisiti seguono le prestazioni e il rischio
La MSB.19 riguarda i contratti nei quali convivono prestazioni differenti, per esempio componenti ICT e non ICT.
Anche in questo caso, i requisiti devono essere modulati secondo proporzionalità, pertinenza e adeguatezza rispetto alle specifiche prestazioni. La qualificazione complessiva del contratto o la sola prevalenza economica di una componente non sono sufficienti a descrivere il rischio cyber.
Una componente tecnologica economicamente minoritaria può avere un impatto molto elevato se comporta accesso remoto, credenziali privilegiate, gestione di sistemi connessi o trattamento di dati rilevanti.
Per questo, nei contratti complessi è opportuno scomporre le prestazioni e associare i requisiti alle componenti che possono incidere sui sistemi e sui servizi NIS.
“Fornitore rilevante NIS” e fornitura soggetta a requisiti: concetti da non confondere
La Determinazione ACN n. 127437/2026 utilizza la nozione di “fornitore rilevante NIS” ai fini degli adempimenti sulla piattaforma e della rappresentazione delle dipendenze della supply chain.
La pagina iSimply dedicata alle FAQ sui fornitori ricorda che sono rilevanti, in sintesi, le forniture ICT individuate dal quadro NIS e le forniture non fungibili la cui interruzione o compromissione può determinare un impatto significativo sulla capacità del soggetto di erogare attività o servizi NIS.
Questo censimento non va però confuso con la valutazione contrattuale delle misure di sicurezza. L’analisi dei requisiti deve essere svolta sulla specifica fornitura e sul suo rischio, secondo le regole delle misure di sicurezza di base e delle FAQ MSB.
Tenere separati i due piani aiuta a evitare due errori opposti: applicare clausole standard a qualunque fornitore censito oppure trascurare una prestazione potenzialmente rischiosa soltanto perché il fornitore non è stato percepito come “critico” in senso organizzativo.
Quali evidenze conservare
La supply chain è uno degli ambiti nei quali la dimostrabilità delle decisioni assume maggiore importanza.
Per ogni fornitura con potenziali impatti sulla sicurezza è opportuno poter ricostruire almeno:
- esito dello screening iniziale;
- valutazione del rischio della fornitura;
- criteri utilizzati per includere o escludere requisiti;
- requisiti selezionati e loro raccordo con le misure ACN pertinenti;
- clausole inserite in gara, contratto, rinnovo o proroga;
- eventuali motivate e documentate ragioni per scelte differenti;
- evidenze fornite dal contraente;
- verifiche svolte durante l’esecuzione;
- non conformità riscontrate e relative remediation;
- rivalutazioni effettuate in caso di incidenti, modifiche del servizio, subfornitura, rinnovo o cambiamenti tecnologici.
Queste evidenze alimentano anche il più ampio fascicolo delle evidenze NIS2 utile in caso di monitoraggio, verifica o ispezione ACN.
Cosa devono fare ora i soggetti NIS
Le FAQ consentono di trasformare la gestione della supply chain in un processo più ordinato e meno burocratico.
Le azioni prioritarie sono:
- censire le forniture e collegarle ai servizi, sistemi e processi NIS supportati;
- introdurre uno screening semplice per individuare le forniture con potenziali impatti sulla sicurezza;
- applicare una valutazione approfondita ai rapporti che superano lo screening;
- definire una libreria di requisiti contrattuali modulare, evitando una clausola unica e indifferenziata;
- integrare procurement, IT/security, compliance, legale e responsabili di servizio nel processo di selezione dei requisiti;
- aggiornare modelli di gara, capitolati, schemi di contratto, rinnovi e proroghe in coerenza con i termini applicabili;
- predisporre controlli durante l’esecuzione e non limitarsi alla dichiarazione iniziale del fornitore;
- documentare le ragioni delle inclusioni, delle esclusioni e delle eventuali deroghe tecniche o normative.
La clausola contrattuale è quindi soltanto un passaggio. Il vero presidio NIS2 è la capacità di dimostrare che il requisito nasce da un rischio valutato, è stato tradotto in un obbligo coerente ed è stato successivamente verificato.
Conclusione
Le FAQ MSB.12–MSB.19 spostano il tema della supply chain da un approccio fondato su clausole standard a un modello risk-based e documentabile.
Per imprese e Pubbliche Amministrazioni il risultato è duplice. Da una parte vengono evitati automatismi non necessari, come la riapertura indiscriminata dei contratti esistenti o l’applicazione di tutte le misure a ogni fornitore. Dall’altra aumenta l’importanza del processo decisionale: occorre dimostrare come la fornitura è stata valutata, quali requisiti sono stati scelti, dove sono stati inseriti e come ne viene verificata l’effettiva osservanza.
La gestione dei fornitori diventa così una componente pienamente integrata della governance NIS2 e della preparazione alle attività di monitoraggio e vigilanza dell’ACN.
Enrico Capirone Presidente iSimply srl – Data Protection Officer
Approfondimenti iSimply
- FAQ Fornitori rilevanti e ACI
- Fornitori rilevanti NIS2 – Tutti i chiarimenti ACN
- Adeguamento NIS2 per soggetti essenziali e importanti
- Quadro normativo NIS2 e d.lgs. 138/2024
- NIS2, ACN chiarisce controlli, ispezioni e sanzioni: cosa cambia per soggetti essenziali, importanti e PA
Fonti
- ACN – FAQ NIS, Misure di sicurezza e notifica di incidenti – MSB.12–MSB.19
- ACN – Determinazione n. 379907 del 19 dicembre 2025
- Decreto legislativo 4 settembre 2024, n. 138 – testo in Gazzetta Ufficiale
- iSimply – NIS2: nuove Determine ACN. Adempimenti nuovi soggetti e accesso alla piattaforma
Nota volontaria di trasparenza sull’uso dell’intelligenza artificiale. Questo contenuto è stato predisposto con il supporto di strumenti di IA generativa ed è stato sottoposto a revisione umana sostanziale, verifica delle fonti ufficiali e controllo editoriale. iSimply srl detiene la responsabilità editoriale della pubblicazione. L’art. 50, par. 4, del Regolamento (UE) 2024/1689 prevede un obbligo di trasparenza per i testi generati o manipolati dall’IA e pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico. Il medesimo paragrafo esclude tale obbligo quando il contenuto generato dall’IA è stato sottoposto a un processo di revisione umana o di controllo editoriale e una persona fisica o giuridica detiene la responsabilità editoriale della pubblicazione. iSimply sceglie comunque di rendere trasparente l’impiego di strumenti di IA nel processo redazionale.