La NIS2 non è soltanto una normativa “tecnica”. È una disciplina di governance che porta la cybersicurezza dentro le responsabilità degli organi amministrativi, nei processi di acquisto e nel sistema dei controlli aziendali.
Il D.Lgs. 138/2024, attuativo della Direttiva (UE) 2022/2555, impone ai soggetti essenziali e importanti obblighi specifici in materia di governance, gestione del rischio cyber e notifica degli incidenti.
Uno degli ambiti più delicati è la sicurezza della supply chain: il rischio non si ferma infatti al perimetro informatico interno, ma si estende a fornitori, outsourcer, partner tecnologici e soggetti che accedono a dati, reti o servizi critici.
Il principio guida: un approccio realmente risk-based
I chiarimenti dell’Agenzia per la Cybersicurezza Nazionale (ACN) sulle Misure di Sicurezza di Base evidenziano che la gestione dei fornitori non deve essere indiscriminata. I requisiti vanno calibrati sull’impatto concreto della singola fornitura rispetto a disponibilità, autenticità, integrità e riservatezza di dati e servizi.
Il processo può essere sintetizzato in quattro passaggi:
- Valutare e documentare il rischio associato alla fornitura.
- Definire requisiti di sicurezza coerenti con il rischio e con le misure interne.
- Inserire tali requisiti nella documentazione di affidamento e nei contratti.
- Verificare periodicamente e documentare la conformità del fornitore.
Non tutte le forniture richiedono lo stesso livello di presidio. Accesso ai sistemi, trattamento di dati critici, dipendenza operativa, tempi di ripristino e ruolo del fornitore nella gestione dell’infrastruttura sono tra gli elementi che orientano la valutazione.
RTI e contratti misti: la proporzionalità conta
Nei Raggruppamenti Temporanei di Imprese (RTI), gli obblighi devono concentrarsi sui componenti che svolgono prestazioni con effettivo impatto sulla sicurezza informatica.
Nei contratti misti, invece, i requisiti cyber devono essere applicati alle componenti rilevanti, evitando di trasferire automaticamente obblighi ICT a prestazioni prive di un concreto profilo di rischio.
Il collegamento con il D.Lgs. 231/2001
La violazione degli obblighi NIS2 non costituisce, di per sé e in via automatica, un nuovo reato-presupposto ai sensi del D.Lgs. 231/2001. Il collegamento tra le due discipline è tuttavia sostanziale e può emergere su più livelli.
Il punto di attenzione per gli organi apicali
La NIS2 attribuisce agli organi di amministrazione e direttivi un ruolo diretto nell’approvazione e nella supervisione delle misure di gestione del rischio cyber.
In una logica legata al Modello di organizzazione, gestione e controllo previsto dal D.Lgs. 231/2001 (Modello 231), questo rafforza l’esigenza di poter dimostrare decisioni informate, adeguati flussi informativi, risorse coerenti, controlli effettivi e tempestivo aggiornamento dei presidi.
La cybersecurity non può essere delegata integralmente alla funzione IT. Deve essere governata come rischio d’impresa.
Cosa dovrebbero fare le imprese
- Integrare la valutazione NIS2 con il risk assessment 231, evitando analisi parallele e non comunicanti.
- Rivedere il Modello 231 e i protocolli sui reati informatici, sugli acquisti, sull’outsourcing e sulla gestione delle terze parti.
- Formalizzare ruoli, deleghe, responsabilità e flussi tra organo amministrativo, responsabili cyber, legal, compliance, procurement e Organismo di Vigilanza (OdV).
- Inserire clausole cyber proporzionate nei contratti e predisporre evidenze delle verifiche svolte sui fornitori.
- Allineare incident response, obblighi di notifica, conservazione delle evidenze e flussi verso l’OdV.
- Prevedere formazione periodica per organi apicali e funzioni coinvolte.
Conclusione
La vera sfida non è aggiungere un ulteriore livello di burocrazia, ma costruire un sistema integrato. NIS2, Modello 231, privacy, continuità operativa e gestione dei fornitori devono parlare la stessa lingua: responsabilità chiare, controlli proporzionati, evidenze verificabili e capacità di reazione.
Per molte organizzazioni, l’adeguamento NIS2 rappresenta quindi anche l’occasione per aggiornare il Modello 231 e rendere più robusta la governance complessiva del rischio cyber.