Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
Tradurre il rischio in obblighi concreti
Il contratto deve riflettere criticità, dati, accessi e dipendenze emersi nella valutazione del fornitore. Requisiti uguali per ogni acquisto producono documenti pesanti per servizi minori e troppo vaghi per quelli essenziali.
L’atto di esecuzione della Commissione relativo alla NIS2 indica, per le entità interessate, elementi quali requisiti di sicurezza, competenze, notifica degli incidenti, diritto di audit, vulnerabilità, subfornitura e restituzione delle informazioni alla cessazione. È un riferimento operativo utile anche per organizzazioni che vogliono strutturare meglio i contratti.
- Perimetro tecnico e responsabilità
- Misure minime e configurazioni concordate
- Tempi di presa in carico e ripristino
- Evidenze, report e riesami
- Eccezioni e processo di modifica
Preparare incidenti, vulnerabilità e controlli
La notifica deve indicare eventi coperti, canale, contatti e tempi coerenti con gli obblighi del cliente. Il fornitore deve collaborare a contenimento, raccolta delle evidenze, comunicazioni e analisi delle cause senza attendere che ogni dettaglio sia definitivo.
Audit non significa accesso indiscriminato. Si possono prevedere report indipendenti, attestazioni, verifiche a campione e audit mirati in base al rischio. Per software e servizi occorrono anche gestione delle vulnerabilità, supporto, fine vita e modalità di aggiornamento.
- Notifica senza ritardo e aggiornamenti successivi
- Conservazione e disponibilità dei log
- Cooperazione durante risposta e recovery
- Diritto di audit o accesso a rapporti pertinenti
- Tempi per vulnerabilità e componenti fuori supporto
Non dimenticare subfornitori e cessazione
Se il servizio dipende da cloud, data center, software o assistenza di terzi, il contratto deve chiarire autorizzazione, responsabilità e flusso degli obblighi lungo la catena. Il cliente deve conoscere almeno le dipendenze che possono cambiare rischio, localizzazione o continuità.
Portabilità, formati, cancellazione, restituzione dei dati, revoca degli accessi e assistenza alla transizione vanno concordati prima dell’uscita. Gli aspetti legali e privacy devono essere validati da professionisti qualificati; la parte tecnica deve restare verificabile e applicabile.
- Elenco o categorie di subfornitori rilevanti
- Preavviso per cambiamenti materiali
- Portabilità di dati e configurazioni
- Revoca credenziali e attestazione di cancellazione
- Assistenza, tempi e costi di transizione
Domande frequenti
Esiste una clausola standard valida per tutti?+
No. Serve una base comune modulata su servizio, dati, accessi, criticità, normativa e capacità effettiva delle parti.
Il diritto di audit deve essere illimitato?+
No. Può essere proporzionato e prevedere attestazioni, rapporti indipendenti e verifiche mirate, mantenendo la possibilità di approfondire rischi o incidenti rilevanti.
Chi deve validare il contratto?+
Responsabili del servizio, IT, sicurezza, acquisti, privacy e consulenza legale devono coordinarsi secondo il contesto. Questa guida non sostituisce un parere legale.