NIS2, l'articolo 17 esce dall'ombra: cosa cambia per gli accordi con i fornitori cyber

Articolo 17 NIS2: cosa cambia per gli accordi con i fornitori cyber?

Se pensavi che la direttiva NIS2 riguardasse solo firewall e antivirus, preparati a una sorpresa. L'articolo 17, finora passato in sordina, è uscito dall'ombra grazie alle recenti FAQ dell'Agenzia per la Cybersicurezza Nazionale (ACN). E no, non è un'altra noiosa formalità burocratica: riguarda direttamente i contratti con i tuoi fornitori di servizi cyber, come SOC, MDR, penetration test e threat intelligence. In pratica, se non aggiorni gli accordi, rischi di essere fuori legge.

Perché l'articolo 17 è così importante?

L'articolo 17 impone alle aziende di stipulare accordi formali con i fornitori di servizi di cybersecurity per lo scambio di informazioni sensibili. Non basta più una stretta di mano o una mail informale: serve un contratto che specifichi come vengono gestiti i dati, le responsabilità e le procedure di notifica in caso di incidente. Le FAQ dell'ACN chiariscono che questi accordi devono essere comunicati alle autorità competenti, con impatti pratici immediati sulla gestione dei contratti.

Cosa devono fare le aziende?

Prima di tutto, rivedere i contratti esistenti con fornitori come SOC (Security Operations Center), MDR (Managed Detection and Response), penetration tester e threat intelligence provider. Ogni servizio deve avere un accordo scritto che definisca: tipologia di dati scambiati, misure di sicurezza, obblighi di notifica e clausole di riservatezza. Inoltre, l'accordo deve essere comunicato all'ACN entro termini specifici (ancora da definire, ma meglio prepararsi).

Un esempio pratico

Immagina di avere un contratto con un SOC per il monitoraggio della rete. Finora, magari bastava un semplice SLA. Con l'articolo 17, devi aggiungere una sezione dedicata allo scambio di informazioni sugli incidenti, con tempi di risposta e modalità di comunicazione. Sembra noioso? Forse, ma è come leggere i Termini e Condizioni: nessuno lo fa volentieri, ma poi ti salva il sedere quando qualcosa va storto.

Le novità delle FAQ ACN

Le FAQ chiariscono che l'obbligo si applica a tutti i servizi cyber, non solo a quelli critici. Quindi, anche un semplice penetration test annuale richiede un accordo formale. Inoltre, specificano che le aziende devono conservare copia degli accordi per almeno 5 anni e renderli disponibili su richiesta dell'autorità. Un bel carico di lavoro per i legali, ma necessario per evitare sanzioni.

Come adeguarsi senza impazzire

Il consiglio è di partire da un audit dei contratti esistenti, identificando quelli che rientrano nell'articolo 17. Poi, crea un template standard per gli accordi, da personalizzare per ogni fornitore. Coinvolgi il tuo ufficio legale e il CISO (Chief Information Security Officer) per definire le clausole tecniche. Infine, prepara una procedura per la comunicazione all'ACN. Sembra complesso, ma è come organizzare una cena: se prepari la lista della spesa in anticipo, tutto fila liscio.

FAQ