NIS 2: quando l’attacco informatico diventa una lite con clienti e fornitori
Ufficio Marketing e Comunicazione Tutela Legale Spa
Con l’entrata a regime della Direttiva NIS 2 (recepita in Italia dal D.Lgs. 4 settembre 2024, n. 138, la sicurezza informatica smette di essere un problema limitato all’ufficio IT. Conclusa la fase di censimento sul portale dell’Agenzia per la Cybersicurezza Nazionale (ACN), l’impatto principale si sposta sui contratti commerciali e sulle relazioni lungo la filiera produttiva.
Anche se la legge individua formalmente oltre 20.000 grandi aziende ed enti («soggetti essenziali» e «importanti»), l’art. 21 della direttiva estende i requisiti di sicurezza a tutti i fornitori e subfornitori. La cybersicurezza diventa così un obbligo contrattuale vincolante per l’intera catena di subfornitura.
L’effetto sui fornitori: le PMI nel mirino
I grandi committenti hanno iniziato ad aggiornare i contratti di fornitura per tutelarsi:
- Penali e audit nei contratti: inseriscono clausole di rivalsa, penali per mancato rispetto delle misure minime e facoltà di recesso immediato se il partner non garantisce standard adeguati.
- PMI poco preparate: secondo l’Osservatorio Cybersecurity & Data Protection del Politecnico di Milano, solo il 28% delle PMI italiane ha una procedura formalizzata per valutare i rischi legati ai fornitori. C’è un netto divario tra le richieste dei grandi gruppi e la preparazione delle piccole e medie imprese, con il rischio immediato di contestazioni per inadempimento.
I dati del Rapporto Clusit sulla sicurezza ICT evidenziano che oltre il 20% degli incidenti informatici gravi in Italia parte proprio da un fornitore esterno (credenziali rubate o falle nei sistemi dei partner) usato per colpire il committente principale.
Un caso pratico: dal blocco del server alla causa legale
Per comprendere la portata pratica del rischio, basta analizzare una dinamica sempre più frequente nei distretti produttivi italiani:
- L’intrusione: una PMI metalmeccanica subisce un attacco ransomware tramite un’e-mail truffa (phishing). I server aziendali si bloccano e vengono violate le credenziali di accesso al portale gestionale condiviso con il cliente principale (un grande gruppo soggetto a NIS 2).
- Lo stop: per prudenza, il cliente capofiliera ferma la produzione per due giorni e avvisa l’ACN entro 24 ore, come impone la legge.
- La richiesta di risarcimento: ripristinati i computer, l’ufficio legale del committente invia una formale richiesta danni al fornitore per fermo impianto, penali e danno d’immagine, contestando di non aver usato l’autenticazione a due fattori e di aver avvisato in ritardo.
- Il vuoto di copertura: l’assicurazione Cyber della PMI paga le spese per ripulire i propri server. La polizza di Responsabilità Civile verso terzi (RC), invece, apre il sinistro con riserva e attende le perizie sulla colpa. Nel frattempo, l’azienda fornitrice deve anticipare di tasca propria migliaia di euro in avvocati e periti informatici per resistere alla causa del cliente.
I tre fronti di contenzioso per l’azienda
Nel nuovo scenario normativo, l’intrusione informatica apre tre fronti di contenzioso immediati:
- La causa del cliente: se l’attacco blocca il committente, scattano richieste di risarcimento per mancata produzione, ritardi e penali contrattuali.
- Le verifiche dell’Autorità: le sanzioni del D.Lgs. 138/2024 possono superare diversi milioni di euro. Difendersi davanti agli ispettori o fare ricorso richiede un patrocinio legale tempestivo.
- I rischi per amministratori e titolari (art. 2086 c.c.): la legge assegna agli amministratori il compito di controllare e approvare le misure di sicurezza. Se un blocco operativo mette a rischio l’azienda, chi guida l’impresa può essere chiamato a rispondere con il proprio patrimonio personale.
Il ruolo della Tutela Legale
Affrontare queste controversie richiede l’intervento tempestivo di periti informatici forensi per ricostruire la dinamica dell’attacco, affiancati da legali specializzati in diritto societario e nuove tecnologie.
Mentre le coperture di Cyber Risk intervengono sui costi vivi di bonifica dei server e le polizze di RC Terzi presidiano il debito risarcitorio accertato (nei limiti di franchigie e condizioni di polizza), la Tutela Legale garantisce la difesa patrimoniale a monte:
- Paga le perizie tecniche di parte: sostiene le parcelle dei periti informatici forensi necessari a dimostrare che l’azienda ha lavorato con diligenza.
- Garantisce la scelta del legale: consente all’imprenditore di nominare il proprio avvocato di fiducia per contrastare le richieste del committente, senza subordinare la linea difensiva alle strategie della compagnia RC.
- Azione verso i fornitori IT: copre le spese per rivalersi contro fornitori di software, cloud o manutentori che hanno causato la falla nel sistema.
Rispettare la NIS 2 non è solo una questione tecnica: è un obbligo contrattuale che l’impresa deve essere in grado di difendere anche davanti a un giudice.
