Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Un'azienda metalmeccanica veronese, fornitore storico di un grande gruppo industriale, riceve a gennaio scorso una e-mail dall'ufficio acquisti del cliente: allegato un addendum contrattuale di dodici pagine, con la dicitura "adeguamento NIS2 — firma e restituzione entro quindici giorni". Il responsabile amministrativo firma, convinto si tratti dell'ennesimo documento di compliance. Sei mesi dopo, un attacco ransomware blocca i sistemi del fornitore per tre giorni. Il cliente, soggetto essenziale ai sensi del D.Lgs. 138/2024, subisce un'interruzione parziale della propria catena produttiva e avvia una richiesta di risarcimento danni fondandosi proprio su quelle clausole firmate frettolosamente. Questo scenario — già reale in altri Paesi europei, e in rapida costruzione in Italia — è il cuore del problema che nessuno dei manuali di compliance NIS2 affronta con sufficiente profondità giuridica.
Il quadro normativo: la responsabilità si ferma al soggetto NIS, ma i contratti la spostano
Vigilantibus iura subveniunt: il diritto assiste chi è vigile. E chi firma senza leggere difficilmente trova soccorso nel diritto contrattuale.
La direttiva NIS2, recepita in Italia con il D.Lgs. 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale n. 230 del 1° ottobre 2024 ed entrato in vigore il 16 ottobre 2024, ha costruito un sistema di vigilanza pubblica imperniato sull'Agenzia per la Cybersicurezza Nazionale. La norma istituzionalizza il ruolo dell'ACN come autorità nazionale competente per l'attuazione e il controllo della direttiva, con poteri di vigilanza, ispezione e sanzione.
Sul piano pubblicistico, la responsabilità sanzionatoria riguarda il soggetto NIS iscritto nell'elenco ACN. La NIS2 non si ferma al perimetro aziendale — si estende lungo tutta la catena di fornitura, e la responsabilità verso l'autorità ricade sull'ente obbligato, non sul fornitore. Fin qui, apparente tranquillità per la PMI esterna al perimetro. Se la tua impresa non rientra nel perimetro NIS2, la normativa non impone obblighi diretti: nessuna registrazione, nessuna notifica, nessuna sanzione. L'obbligo è del cliente, che deve presidiare la sicurezza della catena di fornitura e dal 2026 elencare ad ACN i fornitori rilevanti. Per la PMI il rischio non è la multa, ma perdere la fornitura.
Questo è però solo metà della storia. L'altra metà è scritta nei contratti.
La sicurezza della catena di fornitura non può più essere trattata come una clausola standard da inserire nei contratti ICT. Con l'aggiornamento del 24 luglio 2026, l'Agenzia per la Cybersicurezza Nazionale ha pubblicato nuovi chiarimenti sulle misure di sicurezza per la supply chain dei soggetti NIS. Il messaggio è rilevante anche per le imprese che non si sentono "tecnologiche": se un fornitore sostiene servizi, dati, impianti, piattaforme o processi critici, la sua sicurezza entra nel governo aziendale.
In pratica, nel corso del 2024 e del 2025, molte grandi aziende italiane nei settori della manifattura, dell'automotive, dell'energia e dei servizi professionali hanno iniziato ad aggiornare i propri contratti di fornitura inserendo clausole legate alla conformità NIS2. Questo fenomeno, già consolidato nel mercato anglosassone e tedesco, si sta diffondendo rapidamente anche in Italia.
Cosa contengono concretamente questi addendum? I soggetti NIS2 devono includere clausole specifiche nei contratti: obblighi in materia di gestione incidenti, misure di sicurezza minime, modalità di verifica e audit, conseguenze in caso di inadempimento. Devono monitorare costantemente i fornitori critici e mantenere un registro degli incidenti correlati alla supply chain.
Il nodo giuridico sottovalutato è questo: quando una PMI firma un addendum che la impegna a garantire "misure di sicurezza adeguate a garantire la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi", sta assumendo — sul piano del diritto privato — un'obbligazione che un giudice civile potrebbe qualificare come obbligazione di risultato, non di mezzi. Applicando i principi del diritto contrattuale ai servizi di cybersecurity, se un fornitore vende un servizio di "monitoraggio e protezione", sta vendendo un risultato di sicurezza. Se l'incidente avviene perché una misura di sicurezza di base non è stata attuata, potrebbe essere complicato sostenere davanti a un giudice che si trattava solo di un'obbligazione di mezzi.
La distinzione non è accademica. In un'obbligazione di risultato, il mancato raggiungimento dell'obiettivo fa presumere l'inadempimento; è il debitore a dover provare che la causa non gli è imputabile. In un'obbligazione di mezzi, è il creditore a dover dimostrare la negligenza. La differenza, in caso di contenzioso civile successivo a un incidente ransomware, può valere centinaia di migliaia di euro.
Il rischio della sub-fornitura: il punto più sottovalutato
Il rischio più sottovalutato è la catena di sub-fornitura: il fornitore principale può rispettare tutti i requisiti, ma se si avvale di un sub-fornitore privo di misure adeguate, il soggetto NIS2 rimane esposto. Il contratto deve estendere gli obblighi di sicurezza anche ai sub-fornitori, con clausola di flusso verso il basso (flow-down clause).
Ma il meccanismo funziona anche in senso inverso: la PMI che ha firmato un addendum con il cliente essenziale potrebbe aver "scaricato" inconsapevolmente questi obblighi verso i propri fornitori di servizi IT, di cloud, di assistenza software — senza averglielo comunicato, e senza che il contratto con loro lo preveda. Le clausole di limitazione di responsabilità standard dei fornitori software o cloud vanno rinegoziare: se un incidente origina dal fornitore, il soggetto NIS2 risponde comunque verso l'ACN, e deve poter rivalersi contrattualmente.
La stessa logica si applica alla PMI che ha assunto responsabilità contrattuali verso il proprio cliente: se l'incidente è originato dal provider cloud che gestisce i suoi dati, la PMI risponde verso il cliente NIS2, ma potrebbe non avere alcuno strumento contrattuale per rivalersi verso il provider. Questo è il vuoto di tutela che nessun questionario di vendor risk assessment compila automaticamente.
Vale la pena ricordare un principio che il civilista Rudolf von Jhering formulò con la sua teoria della responsabilità da culpa in contrahendo: la responsabilità nasce già nella fase precontrattuale, quando una parte accetta vincoli senza comprenderne la portata. Nel contesto NIS2, il momento in cui la PMI riceve l'addendum e lo firma senza una lettura giuridica è precisamente quella fase critica che può determinare l'intera esposizione futura.
Sul piano delle clausole penali, tradizionalmente i contratti erano utilizzati soprattutto per definire responsabilità, obblighi e conseguenze in caso di inadempimento. Spesso, però, la conformità normativa veniva interpretata come una semplice formalizzazione documentale: clausole standard, dichiarazioni di conformità, questionari e verifiche sporadiche finivano per sostituire un controllo effettivo sulle misure di sicurezza adottate dai fornitori. Ora quella stagione è finita: i contratti NIS2 di nuova generazione contengono clausole penali determinate, diritti di audit con preavviso di 48 ore, obblighi di notifica degli incidenti al cliente entro le stesse finestre temporali previste per la notifica ACN.
Le aziende NIS2 devono inviare un pre-allarme entro 24 ore dalla scoperta di un incidente significativo, seguito da una notifica integrata entro 72 ore, oltre a un report completo entro un mese. Queste stesse scadenze vengono traslate contrattualmente sul fornitore: se la PMI non notifica un incidente nei tempi previsti dall'addendum, viola un'obbligazione contrattuale autonoma, a prescindere dall'esito dell'incidente stesso.
Sul profilo della validità delle clausole di esonero da responsabilità che molti fornitori inseriscono nei propri contratti standard, il quadro civilistico è inequivocabile: ai sensi dell'art. 1229 del codice civile, sono nulle le clausole che escludono o limitano preventivamente la responsabilità del debitore per dolo o colpa grave. Se un'impresa ha sottoscritto l'impegno a mantenere determinate misure di sicurezza e non le ha adottate affatto, è arduo sostenere davanti a un giudice che si sia trattato di semplice colpa lieve. Se il fornitore aveva sottoscritto obblighi contrattuali di sicurezza e non li ha rispettati, si espone a responsabilità civile per i danni causati.
Il consiglio pratico — che vale per qualsiasi PMI che operi come fornitore di una struttura soggetta a NIS2 — è triplice. Prima di firmare qualsiasi addendum: leggere ogni clausola e qualificarne la natura giuridica (obbligazione di mezzi o di risultato? penale fissa o risarcimento integrale?). Durante l'esecuzione del contratto: documentare ogni misura adottata, ogni aggiornamento effettuato, ogni test di sicurezza completato — perché in caso di contenzioso, la prova dell'adempimento spetta a chi ha assunto l'obbligazione. Verso i propri fornitori di servizi IT: aggiornare i contratti a valle per riflettere gli obblighi assunti a monte, evitando il vuoto di rivalsa descritto sopra.
I clienti già certificati ISO/IEC 27001 non sono automaticamente conformi: la NIS2 aggiunge requisiti specifici sulla catena di fornitura che la certificazione non copre integralmente. Lo stesso vale per chi ha già un contratto MSP o di outsourcing IT: quei documenti, redatti prima dell'entrata in vigore del D.Lgs. 138/2024, quasi certamente non contemplano gli obblighi NIS2. Andrebbero rivisti integralmente, non semplicemente integrati con un allegato generico.
La vera sfida del prossimo autunno non sarà soltanto reggere le ispezioni ACN. I grandi committenti soggetti a NIS2 stanno iniziando — e accelereranno nel secondo semestre con l'avvicinarsi dell'ispezione ACN — a inviare ai propri fornitori questionari di sicurezza, richieste di certificazioni e nuove clausole contrattuali. Una PMI che non abbia un livello minimo di maturità in cybersecurity rischia di perdere opportunità commerciali significative.
La direttiva NIS2 ha introdotto nel tessuto contrattuale italiano una tensione nuova: quella tra la logica pubblica della compliance normativa e la logica privata dell'allocazione del rischio. Chi saprà leggere questa tensione prima del proprio cliente o concorrente avrà un vantaggio. Chi la ignorerà — magari fidandosi di quella firma apposta distrattamente sull'addendum — potrebbe scoprirlo nel momento peggiore, quando l'incidente è già avvenuto e il cliente presenta la richiesta di danni.
Redazione - Staff Studio Legale MP
