C’è una domanda che raramente qualcuno si fa prima di firmare un contratto con il fornitore che gestisce il SOC o il servizio di Vulnerability Assessment: cosa succede, esattamente, alle informazioni che ci scambiamo ogni giorno?
Log, alert, indicatori di compromissione, dettagli su vulnerabilità non ancora corrette. Materiale che, se finisse nelle mani sbagliate, varrebbe più di una password rubata.
L’articolo 17 del decreto NIS2 (D.Lgs. 138/2024) prova a mettere ordine proprio qui.
Per mesi è rimasto in secondo piano rispetto ai temi più discussi della normativa: responsabilità del CdA, misure di sicurezza, notifica degli incidenti, gestione della catena di fornitura. Le FAQ pubblicate dall’ACN gli hanno restituito centralità, e il motivo è semplice: riguarda quasi tutte le organizzazioni che si affidano a un fornitore esterno per attività di sicurezza.
Di cosa parla davvero l’articolo 17
La norma consente a soggetti essenziali e importanti, e alle loro terze parti, di scambiarsi su base volontaria informazioni sulla sicurezza informatica: minacce, quasi incidenti, vulnerabilità, tattiche degli attaccanti, indicatori di compromissione, raccomandazioni di configurazione. La condivisione resta volontaria; ciò che la norma impone è la disciplina intorno a essa: quando avviene, deve essere regolata da un accordo che ne definisca perimetro e strumenti di tutela.
Qui arriva il chiarimento che ha sorpreso più di un responsabile IT: secondo l’ACN, rientrano in questa categoria i contratti che hanno per oggetto, anche solo in parte, servizi di sicurezza informatica. NOC, MDR, SOC, CSOC, CERT, Vulnerability Assessment e Penetration Test, Red Teaming, Cyber Threat Intelligence: la lista dei servizi che quasi ogni azienda strutturata acquista da anni, spesso senza aver mai riletto le clausole sulla riservatezza dei dati scambiati.
Una questione che riguarda anche le persone, non solo i legali
Chi si occupa di awareness lo sa: dietro ogni accordo di condivisione c’è una relazione tra persone. Chi gestisce il rapporto con il fornitore del SOC sa quali informazioni può passare via email e quali no? Chi riceve un report di Penetration Test capisce che quel documento, se condiviso male, diventa una mappa delle vulnerabilità aziendali offerta gratis a chi non dovrebbe vederla?
I contratti fissano i confini. Le persone li rispettano, o li ignorano, ogni giorno, quando allegano un file a un ticket, quando inoltrano un alert a un collaboratore esterno senza controllare la classificazione del contenuto, quando usano un canale non previsto perché “tanto era urgente”. La NIS2 formalizza obblighi giuridici; la cultura organizzativa decide se quegli obblighi restano sulla carta o diventano comportamento quotidiano.
Le scadenze da tenere a mente
L’ACN ha previsto un’applicazione graduale. Per l’aggiornamento annuale 2025 va notificato solo ciò che è stato sottoscritto dopo l’entrata in vigore del decreto. Gli accordi precedenti, quelli firmati anni fa magari senza pensare minimamente alla NIS2, restano da analizzare ed eventualmente adeguare entro l’aggiornamento annuale 2026. Il termine generale per allinearsi alla prescrizione, in coerenza con l’adozione delle misure di sicurezza di base, cade a ottobre 2026.
Va presa per quello che è, non come un alibi per rimandare. Ritardare la ricognizione significa rischiare di arrivare alla scadenza con contratti mai riletti, informazioni condivise da anni senza un perimetro chiaro, responsabilità che nessuno ha mai davvero assegnato. Chi aspetta l’ultimo trimestre del 2026 per aprire il cassetto dei contratti coi fornitori troverà, quasi certamente, più di una sorpresa.
Cosa fare, concretamente
Non serve produrre in fretta e furia un documento nuovo per ogni fornitore. Serve partire da una mappatura reale: chi eroga servizi di SOC, MDR, VA/PT, Red Teaming o Threat Intelligence, quali informazioni vengono effettivamente scambiate con ciascuno, cosa dice già il contratto in vigore. Da lì si valuta se serve un accordo dedicato o se basta integrare clausole di riservatezza in quello esistente.
E poi, il passaggio che spesso salta: chi in azienda gestisce operativamente quei rapporti va informato su cosa significa l’accordo nella pratica. Non un webinar isolato, ma un percorso che renda familiare la distinzione tra informazione condivisibile e informazione da proteggere, e le conseguenze concrete di uno scambio fatto senza attenzione.
Il takeaway
L’articolo 17 chiede di rendere esplicito qualcosa che già accade: lo scambio di informazioni sensibili con chi gestisce la nostra difesa digitale. Non serve riscrivere da capo la sicurezza aziendale. La parte tecnica e quella legale possono essere delegate a specialisti. La parte umana, cioè le persone che ogni giorno decidono cosa scrivere in un ticket o allegare a un’email, resta il punto su cui costruiamo il nostro approccio alla formazione: un accordo ben scritto vale quanto le abitudini di chi lo applica ogni giorno.
