Con l’aggiornamento del 24 luglio 2026 alle FAQ “Misure di sicurezza e notifica di incidenti”, l’ACN chiarisce come i soggetti NIS devono gestire la sicurezza della catena di approvvigionamento: nessun obbligo di riaprire i contratti in corso e requisiti da calibrare sulla singola fornitura, non da riversare indistintamente su tutti i fornitori.
Le FAQ da MSB.12 a MSB.19 intervengono sulle misure GV.SC-01, GV.SC-05 e GV.SC-07 delle specifiche di base. Il filo conduttore è il richiamo all’approccio risk-based.
Un processo in quattro fasi
La FAQ MSB.13 scandisce la sequenza: valutazione del rischio associato alla fornitura (GV.SC-07, punto 1); identificazione dei requisiti di sicurezza, coerenti con gli esiti della valutazione e con le misure applicate ai propri sistemi (GV.SC-01, punto 1); enforcement, cioè inserimento dei requisiti in richieste di offerta, bandi di gara, accordi quadro, contratti e convenzioni (GV.SC-05, punto 1); verifica periodica e documentata della conformità (GV.SC-07, punto 2).
L’ordine non è formale: la valutazione del rischio precede la definizione dei requisiti. Sul piano operativo, la procedura di qualifica deve quindi prevedere una verifica a monte della stesura e della firma del contratto. I criteri minimi (MSB.14) sono cinque: livello di accesso del fornitore ai sistemi informativi e di rete; accesso a proprietà intellettuale e dati, in funzione della loro criticità; impatto di una grave interruzione della fornitura; tempi e costi di ripristino; ruoli e responsabilità del fornitore nel governo dei sistemi.
Contratti in essere: nessuna riapertura
È il chiarimento di maggiore impatto pratico. La FAQ MSB.12 esclude l’obbligo di adeguare i contratti già in essere: l’inserimento dei requisiti è obbligatorio — salve motivate e documentate ragioni normative o tecniche — per i contratti stipulati, rinnovati o prorogati a partire dal termine di adozione delle misure. Per i soggetti iscritti nell’elenco NIS entro il 31 dicembre 2025 il termine è di diciotto mesi dalla comunicazione di inserimento (prime scadenze dall’autunno 2026); per quelli inseriti per la prima volta nel 2026 è il 31 luglio 2027 (determinazione n. 127434/2026).
Requisiti pertinenti, non “a tappeto”
Il blocco più utile pone limiti espliciti all’over-compliance contrattuale. Non tutte le forniture richiedono requisiti di sicurezza, ma solo quelle con potenziali impatti sulla sicurezza dei sistemi informativi e di rete (MSB.15). Non tutti i requisiti delle misure di base vanno ribaltati sul fornitore, né riprodotti alla lettera: è sufficiente recepirne il contenuto sostanziale (MSB.16). Le categorie di misure dell’art. 24 del d.lgs. 138/2024 non sono un insieme minimo sempre applicabile, ma vanno modulate fino all’eventuale esclusione di alcune, in base a contesto operativo, livello di rischio e criticità dei servizi affidati (MSB.17): per affidamenti non ICT — pulizie, vigilanza senza strumenti digitali, progettazione senza BIM — i requisiti imposti al fornitore devono restare coerenti con l’oggetto della prestazione. Lo stesso criterio di proporzionalità, pertinenza e adeguatezza vale per i contratti misti (MSB.19).
È un argomento spendibile da chi riceve allegati contrattuali che pretendono ogni misura possibile a prescindere dal servizio: la richiesta indiscriminata non è imposta dalla normativa NIS.
Quando l’aggiudicatario è un RTI o un consorzio, infine, le misure vanno soddisfatte dai soli componenti che erogano, anche parzialmente, la prestazione con impatti sulla sicurezza informatica (MSB.18) — il che presuppone una mappatura chiara delle parti di servizio assegnate a ciascuno.
Cosa fare adesso
Per i soggetti NIS con scadenza nel mese di ottobre l’aggiornamento suggerisce alcune priorità:
- classificare il parco fornitori distinguendo le forniture con potenziali impatti sulla sicurezza da quelle prive di rilevanza, con evidenza documentale della classificazione;
- formalizzare la procedura di valutazione del rischio fornitore sui cinque criteri di GV.SC-07, collocandola a monte della contrattualizzazione e prevedendo il riesame in caso di modifiche al servizio, ai subfornitori, all’architettura o al perimetro dei dati trattati;
- costruire un set modulare di clausole — non un allegato unico — in modo da poter graduare i requisiti per fascia di rischio e tipologia di affidamento;
- prevedere, nelle proprie procedure, verifiche periodiche e definire in anticipo quali evidenze richiedere per documentale la compliance (certificazioni, report di audit, esiti di test, SLA di sicurezza;
- presidiare rinnovi e proroghe;
- tracciare le esclusioni: dove i requisiti non vengono inseriti per motivate ragioni normative o tecniche, la motivazione deve risultare per iscritto.
Le FAQ quindi non aggravamo gli obblighi: li spiegano come più selettivi, spostando così il baricentro dalla redazione delle clausole alla capacità di dimostrare, con evidenze, perché quelle clausole sono state scelte proprio per quella fornitura.
