Chi lavora per un soggetto NIS è nel suo perimetro di rischio? Il decreto 138 lo scrive nell’articolo 24

Un’impresa vince l’appalto per portare la fibra fino a un ospedale. Un’altra giunta le tratte di un data center regionale e tiene le tracce OTDR di ogni giunzione fatta negli ultimi tre anni. Nessuno di questi contratti cita quasi mai il decreto NIS. Eppure se il committente è un soggetto essenziale o importante ai sensi del decreto legislativo 4 settembre 2024, n. 138 — il recepimento italiano della direttiva (UE) 2022/2555 — quell’impresa non lavora accanto al perimetro di rischio del committente: ci lavora dentro, per legge. La domanda utile non è se il decreto la riguardi, ma dove quell’obbligo diventa qualcosa che si può scrivere e verificare.

Chi rientra, nei nostri settori

L’allegato I colloca fra i settori ad alta criticità le infrastrutture digitali: l’elenco include i «fornitori di servizi di data center», i «fornitori di reti pubbliche di comunicazione elettronica» e i «fornitori di servizi di comunicazione elettronica accessibili al pubblico». Per questi ultimi due il decreto non lascia margini di soglia: l’articolo 3, comma 5, lettera b), li include «indipendentemente dalle loro dimensioni». Se è almeno una media impresa, l’articolo 6, comma 1, lettera c), lo qualifica soggetto essenziale; se è più piccolo, resta soggetto importante. Un data center rientra invece solo se supera i massimali delle piccole imprese (articolo 3, comma 2) — e diventa essenziale, non importante, solo se supera anche quelli delle medie (articolo 6, comma 1, lettera a).

Non è lo stesso perimetro del regolamento (UE) 2024/2690 sui data center, di cui abbiamo già scritto: quello definisce quando un incidente di data center è significativo. Non è nemmeno il tema del Cybersecurity Act sui fornitori ad alto rischio: qui il fornitore è chi lavora sull’infrastruttura fisica del soggetto NIS, non chi ne fabbrica gli apparati.

La catena di fornitura è nel testo, non nella nostra lettura

L’articolo 24, comma 1, impone ai soggetti essenziali e importanti di adottare «misure tecniche, operative e organizzative adeguate e proporzionate […] alla gestione dei rischi posti alla sicurezza dei sistemi informativi e di rete che tali soggetti utilizzano nelle loro attività o nella fornitura dei loro servizi». Il comma 2 precisa che quelle misure «sono basate su un approccio multi-rischio, volto a proteggere i sistemi informativi e di rete nonché il loro ambiente fisico da incidenti» — il perimetro non è solo logico: comprende camerette, cavidotti, sale apparati.

Fra gli elementi minimi, la lettera d) del comma 2 mette la «sicurezza della catena di approvvigionamento, ivi compresi gli aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi». Non un principio generale: un rapporto specifico con i «diretti fornitori». Chi scava i cavidotti, giunta le fibre e conserva le tracce OTDR di un soggetto NIS è un fornitore diretto: il rischio che porta con sé entra nel perimetro del committente, non in un capitolo a parte.

Gli organi rispondono di persona: l’articolo 23

L’articolo 23 mette la responsabilità in capo agli organi di amministrazione e direttivi del committente, non a un ufficio tecnico: «approvano le modalità di implementazione delle misure di gestione dei rischi […] ai sensi dell’articolo 24» e «sono responsabili delle violazioni di cui al presente decreto». Chi firma un capitolato per un soggetto NIS senza le clausole dell’articolo 24 non lascia scoperta solo l’impresa: lascia scoperto se stesso.

La catena dei tempi: ventiquattro ore, settantadue ore, un mese

L’articolo 25, comma 4, definisce quando un incidente è significativo: se «ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie», oppure se «ha avuto ripercussioni […] su altre persone fisiche o giuridiche causando perdite materiali o immateriali considerevoli». Da lì la sequenza del comma 5: «entro 24 ore da quando sono venuti a conoscenza dell’incidente significativo, una pre-notifica» (lettera a); «entro 72 ore» una notifica più completa (lettera b); «una relazione finale entro un mese dalla trasmissione della notifica» con «il tipo di minaccia o la causa originale (root cause) che ha probabilmente innescato l’incidente» (lettera d); e, se ancora in corso, «una relazione mensile sui progressi e una relazione finale entro un mese dalla conclusione della gestione dell’incidente» (lettera e).

Il conto che il decreto non fa, e che tocca al capitolato

Qui la norma si ferma, e comincia il nostro ragionamento: non un obbligo scritto nel decreto, una sua conseguenza logica. Le 24 ore della pre-notifica decorrono da quando il soggetto NIS viene a conoscenza dell’incidente, non da quando accade. Se il capitolato non impone all’appaltatore un termine più breve — dodici ore, sei, quanto la tratta giustifica — il committente non può rispettare la pre-notifica: quando l’appaltatore lo avvisa, parte del tempo utile è già passata. Quel termine non è un dettaglio contrattuale: è la condizione perché il committente possa adempiere all’articolo 25.

Diciotto mesi, nove mesi — ma da quando

L’articolo 31 affida all’Agenzia per la cybersicurezza nazionale il compito di fissare «termini, modalità, specifiche e tempi graduali di implementazione degli obblighi». La determinazione esiste: firmata da Bruno Frattasi il 18 dicembre 2025, in vigore dal 15 gennaio 2026 al posto della precedente n. 164179/2025, stabilisce due termini: «il termine per l’adozione delle misure di sicurezza di base […] è fissato in diciotto mesi dalla ricezione, da parte del soggetto NIS della comunicazione di inserimento nell’elenco dei soggetti NIS», nove mesi per la notifica degli incidenti significativi di base.

Diciotto e nove mesi da quando, però, non è una data fissa: decorrono dalla ricezione di una comunicazione individuale, diversa per ogni soggetto. La pagina ACN la traduce in un riferimento divulgativo — «entro 18 mesi (ottobre 2026)» — assente dal testo firmato: è la stima dell’Agenzia per la prima tornata, non il termine di legge. Un capitolato che scrivesse entro ottobre 2026 sarebbe sbagliato per la maggior parte dei committenti: la scadenza va agganciata alla comunicazione ricevuta dal committente, un documento nel suo cassetto, non in quello dell’appaltatore.

Dove sta il dato, oggi

La comunicazione di inserimento nell’elenco sta presso il committente, sulla piattaforma dell’Agenzia: l’appaltatore non vi ha accesso. Le clausole sulla catena di approvvigionamento e il termine di segnalazione, quando esistono, stanno nel capitolato o nel contratto — non nel decreto, che non li impone, né sempre nei requisiti di chi ha davvero mandato la squadra in cantiere. Le tracce OTDR e il registro dei guasti, che rendono verificabile una causa di fondo, stanno presso chi ha eseguito i lavori, quando esistono. Il perimetro fisico che l’articolo 24 protegge coincide con quello che un as-built aggiornato dovrebbe descrivere, raramente in un formato che regge un controllo. Quattro luoghi: nessuno, da solo, dimostra che un appaltatore sia allineato al perimetro di rischio del suo committente NIS.

Vedi il servizio · Parlane con un tecnico

Quello che non sappiamo

Questo non è un parere legale. Non abbiamo letto per intero gli allegati tecnici della determinazione ACN: dove li citiamo, è per struttura, non per contenuto verificato. Non sappiamo, per nessun committente specifico, quando abbia ricevuto la comunicazione di inserimento né se sia essenziale o importante: è un dato da chiedere, non da presumere. Il ragionamento sul termine più breve di 24 ore è una nostra deduzione, non una regola scritta nel decreto. Chi scrive un capitolato su questa base deve far verificare posizione e scadenze da un consulente qualificato.

I due assi, su questo tema

Nel capitolato di un soggetto NIS va scritta la clausola che l’articolo 24 indica e che quasi nessuno mette per iscritto: sicurezza della catena di approvvigionamento come requisito del fornitore diretto, termine di segnalazione più breve delle 24 ore, tracce OTDR e registro dei guasti come documenti contrattuali, non come cortesia tecnica. In accettazione si verifica che quelle clausole abbiano un riscontro reale, non una dichiarazione generica di conformità al decreto NIS.

Comunicazione di inserimento, capitolati, contratti, tracce OTDR e as-built diventano, con CSIDIA, l’altra società del gruppo, una mappa unica su cui un’AI verifica, con un operatore al comando, se per quel committente i documenti richiesti esistono davvero — traccia datata, pronta per un’ispezione, non ricostruita quando arriva. Nel perimetro del cliente: on-premise su macchine autonome, oppure cloud dedicato con VPN dedicata e data center in Italia, sempre con gestione condivisa — la stessa logica dei data center che seguiamo.

Dovete verificare se il vostro committente è un soggetto NIS, o tradurre l’articolo 24 in una clausola di capitolato? Parlatene con un tecnico: la prima sessione è senza costi.