Nell’ambito della normativa DORA e NIS 2, la gestione della catena di fornitura è molto complessa. In particolare, lo è la fase di ricontrattualizzazione con i fornitori già in essere.

DORA e NIS 2: la complessità della gestione della catena di fornitura

Dora introduce una serie di requisiti nel processo di gestione dei fornitori, che possono essere considerati più o meno innovativi in funzione del tipo di entità finanziaria considerata e della normativa in vigore prima della piena efficacia del nuovo Regolamento.

Per esempio, il mondo bancario è uno di quelli meno impattati, in quanto sono molto limitate le differenze fra DORA e la precedente normativa di Eba, in fatto di gestione dei fornitori.

La ri-contrattualizzazione

Un corretto processo di ri-contrattualizzazione dovrebbe partire con una ri-valutazione del rischio del fornitore.

DORA introduce, infatti, una serie di parametri e rischi, che non erano presenti nella normativa precedente e che devono essere valutati prima dell’instaurazione di un nuovo contratto con un fornitore o prima della ri-contrattualizzazione dello stesso.

I requisiti contrattuali secondo DORA

Altro punto di attenzione riguarda la definizione dei requisiti contrattuali richiesti da DORA. Essi sono raggruppabili in due macro categorie: requisiti espliciti e impliciti.

I requisiti espliciti

La prima categoria, comprende i requisiti espliciti (gli unici in realtà che solitamente vengono effettivamente formalizzati nei contratti), cioè quelli elencati specificatamente nella normativa, con particolare riferimento all’articolo 30 di DORA ed al Regolamento delegato sui fornitori Ict.

I requisiti espliciti si dividono a loro volta fra quelli che esprimono una richiesta puntuale e definita (per esempio la località di elaborazione dei dati) o molto generica (come, per esempio, le disposizioni in materia di disponibilità, autenticità, integrità e riservatezza in relazione alla protezione dei dati, compresi i dati personali).

Per questi ultimi, che fra l’altro sono quelli più significativi, appare evidente che la normativa si limita a dare indicazioni molto generiche, relativamente unicamente al cosa deve essere formalizzato, ma non al come.

Le disposizioni in materia di disponibilità, autenticità, integrità e riservatezza in relazione alla protezione dei dati, compresi i dati personali, possono essere descritte in poche righe o in decine di pagine, e possono essere oggetto di ampia trattativa con ogni fornitore.

Infatti ogni fornitore potrebbe avere una sua modalità per garantire il rispetto di questi principi, non identici a quelli della entità finanziaria, ma comunque validi.

I requisiti impliciti

Una seconda fattispecie di requisiti è rappresentata da quelli impliciti, presenti in gran parte della normativa, che indicano misure tecniche ed organizzative in carico all’entità finanziaria: per esempio la cifratura dei dati.

Appare evidente che, se i dati sono elaborati anche da parte di un fornitore, anch’esso dovrà provvedere alla loro cifratura.

Va da sé, inoltre, che dare indicazioni standard a tutti i fornitori indistintamente, è molto controproducente.

Al singolo fornitore dovrebbero essere date le sole indicazioni utili allo specifico servizio/prodotto effettivamente erogato.

Non ha infatti alcun senso formalizzare con un fornitore, che si limita a vendere un’applicazione software da installare presso l’entità finanziaria, un contratto che contenga le stesse clausole contrattuali di un fornitore che svolge un servizio che comporti una elaborazione di dati [1].

Va inoltre considerato il fatto che, il fornitore non ha alcun obbligo normativo di aderire alle richieste dell’entità finanziaria, in quanto l’unico obbligo che gli deriva da DORA, è la formalizzazione di un contratto scritto con la medesima.

Il potere negoziale

Tutti gli altri requisiti presenti nel contratto hanno una valenza puramente contrattuale e, come tali, sono soggetti a possibili trattative fra le parti, compresa la definizione del corrispettivo economico legato alla attivazione di nuovi adempimenti o, alla modifica di quelli in essere.

Il poter negoziale in questa trattativa, è essenzialmente legato alla:

• dipendenza dell’entità finanziaria dal fornitore, da un lato, ed alla concreta possibilità di sostituirlo con un altro (che accetti ovviamente tutti i requisiti contrattuali previsti);
• rilevanza del contributo economico (diretto e indiretto) della entità finanziaria sul suo conto economico, dal lato fornitore.

Il ruolo della NIS 2

Tutto quanto scritto finora è vero e resterà vero non per molto tempo, però. Ed è qui che si innesta la direttiva NIS 2.

Questa normativa prevede infatti, anch’essa, l’adozione di una serie di misure di sicurezza, che sono sommariamente elencate nella direttiva ed esplicitate in modo più analitico nel Regolamento di esecuzione (UE) 2024/2690 della Commissione del 17 ottobre 2024.

La struttura della normativa NIS 2 prevede, infatti, la presenza di una direttiva che, come tale, deve essere recepita dai singoli Stati (in Italia dal Decreto legislativo 4 settembre 2024, n. 138 2), e da un Regolamento esecutivo che esplicita più dettagliatamente i singoli requisiti normativi.

Equivalenza fra DORA e NIS 2: l’opinione della Commissione UE

Inoltre la Commissione europea così si è espressa in merito all’equivalenza fra la normativa DORA e la normativa NIS 2:

• l’articolo 1, paragrafo 2, del regolamento (UE) 2022/2554 (atto sulla resilienza operativa digitale, Dora) stabilisce che, quanto alle entità finanziarie contemplate dalla direttiva (UE) 2022/2555 e dalle rispettive norme nazionali di recepimento, tale regolamento è considerato un atto giuridico settoriale dell’Unione ai sensi dell’articolo 4 della suddetta direttiva. Tale affermazione è ripresa al considerando 28 del preambolo della direttiva (UE) 2022/2555, secondo cui il Dora dovrebbe essere considerato un atto giuridico settoriale dell’Unione in relazione alla direttiva (UE) 2022/2555 per quanto riguarda i soggetti del settore finanziario. Di conseguenza, invece delle disposizioni stabilite nella direttiva (UE) 2022/2555, dovrebbero applicarsi quelle del regolamento (UE) 2022/2554 relative alla gestione dei rischi delle tecnologie dell’informazione e della comunicazione (TIC) (articolo 6 e seguenti), alla gestione degli incidenti connessi alle TIC e, in particolare, alla segnalazione dei gravi incidenti TIC (articolo 17 e seguenti), nonché ai test di resilienza operativa digitale (articolo 24 e seguenti), ai meccanismi di condivisione delle informazioni (articolo 25) e ai rischi informatici TIC derivanti da terzi (articolo 28 e seguenti). Gli Stati membri non devono pertanto applicare le disposizioni della direttiva (UE) 2022/2555 riguardanti gli obblighi di gestione e segnalazione dei rischi di cibersicurezza e la vigilanza e l’esecuzione alle entità finanziarie contemplate dal regolamento (UE) 2022/2554.

In altre parole, vi è un’equivalenza fra la gestione dei rischi, degli incidenti, dei test, della condivisione delle informazioni, dei rischi informatici derivanti da terzi fra le due normative e, questo, avrà un’importante conseguenza anche sul rapporto fra le entità finanziarie e i loro fornitori.

Il riferimento al futuro

Le misure di sicurezza previste dall’articolo 25 della NIS 2 o meglio per l’Italia, dal già citato Decreto legislativo 4 settembre 2024, n. 138, devono essere implementate, come recita l’articolo 42.1.c del decreto stesso:

• sino al 31 dicembre 2025, il termine per l’adempimento degli obblighi di cui all’articolo 25 è fissato in nove mesi dalla ricezione della comunicazione di cui all’articolo 7, comma 3, lettere a) e b), e il termine per l’adempimento degli obblighi di cui agli articoli 23, 24 e 29 e’ fissato in diciotto mesi dalla medesima comunicazione. Ai fini di cui al primo periodo, l’autorità nazionale competente Nis può stabilire modalità e specifiche di base per assicurare la conformità dei soggetti essenziali e dei soggetti importanti.

L’articolo 7

Inoltre, l’articolo 7 del medesimo decreto recita:

• Entro il 31 marzo di ogni anno successivo alla data di entrata in vigore del presente decreto, l’Autorità nazionale competente NIS, redige, secondo le modalità di cui all’articolo 40, comma 5, l’elenco dei soggetti essenziali e dei soggetti importanti, sulla base delle registrazioni di cui al comma 1 e delle decisioni adottate ai sensi degli articoli 3, 4, e 6. 3. Tramite la piattaforma digitale di cui al comma 1, l’Autorità nazionale competente NIS comunica ai soggetti registrati di cui al comma 2: a) l’inserimento nell’elenco dei soggetti essenziali o importanti; b) la permanenza nell’elenco dei soggetti essenziali o importanti; c) l’espunzione dall’elenco dei soggetti.

Tempo per adeguarsi ai requisiti normativi della NIS 2

Le organizzazioni soggette alla NIS 2 hanno ancora qualche mese di tempo per adeguarsi ai requisiti normativi, relativi alla sicurezza, previsti dalla NIS 2.

Ciò dovrebbe avere un impatto sui fornitori ICT delle entità finanziarie e quindi sui contratti in essere fra le medesime e tali fornitori Ict. Il motivo si evince scorrendo l’elenco dei soggetti che sono tenuti al rispetto della normativa NIS 2.

I soggetti descritti nell’Allegato I Settori ad alta criticità, che comprende, fra gli altri, oltre ad aziende appartenenti ai più diversi settori (dal settore bancario allo spazio) le aziende raggruppare sotto la voce:

• infrastrutture digitali;
• gestione dei servizi TIC (business-to-business);
• i fornitori di servizi digitali.

Infrastrutture digitali:

• fornitori di punti di interscambio internet;
• fornitori di servizi di sistema dei nomi di dominio (domain name system – DNS), esclusi gli operatori dei server dei nomi radice;
• gestori di registri dei nomi di dominio di primo livello (top level domain TLD);
• fornitori di servizi di cloud computing, di servizi di data center, di reti di distribuzione dei contenuti (content delivery network);
• prestatori di servizi fiduciari;
• fornitori di reti pubbliche di comunicazione elettronica e di servizi di comunicazione elettronica accessibili al pubblico.

Gestione dei servizi TIC (business-to-business):

• fornitori di servizi gestiti;
• fornitori di servizi di sicurezza gestiti.

Inoltre le aziende ricomprese nell’Allegato II – altri settori critici comprende fra gli altri:

• i fornitori di servizi digitali (mercati online, motori di ricerca online, piattaforme social network e servizi di registrazione dei nomi di dominio).

Le aziende soggette alla NIS 2

Le aziende menzionate in tale elenco sono soggette alla NIS 2 se superano i massimali per le piccole imprese ai sensi dell’articolo 2, paragrafo 2, dell’allegato alla raccomandazione 2003/361/CE (nella categoria delle Pmi si definisce piccola impresa un’impresa che occupa meno di 50 persone e realizza un fatturato annuo o un totale di bilancio annuo non superiori a 10 milioni di euro).

Sono invece soggetti alla NIS 2, indipendentemente dalle loro dimensioni:

• i soggetti che sono identificati come soggetti critici ai sensi del decreto legislativo, che recepisce la direttiva (UE)2022/2557 del Parlamento europeo e del Consiglio, del 14 dicembre2022;
• i fornitori di reti pubbliche di comunicazione elettronica o di servizi di comunicazione elettronica accessibili al pubblico;
• i prestatori di servizi fiduciari;
• i gestori di registri dei nomi di dominio di primo livello e fornitori di servizi di sistema dei nomi di dominio;
• i fornitori di servizi di registrazione dei nomi di dominio.

Soggetti negli allegati I, II, III e IV

Analogamente la NIS 2 si applica anche ai soggetti dei settori o delle tipologie di cui agli allegati I, II, III e IV, indipendentemente dalle loro dimensioni, individuati secondo le procedure di cui al comma 13, qualora:

• il soggetto sia identificato prima della data di entrata in vigore del presente decreto come operatore di servizi essenziali ai sensi del decreto legislativo 18 maggio 2018, n. 65;
• il soggetto sia l’unico fornitore nazionale di un servizio che è essenziale per il mantenimento di attività sociali o economiche fondamentali;
• una perturbazione del servizio fornito dal soggetto potrebbe avere un impatto significativo sulla sicurezza pubblica, l’incolumità pubblica o la salute pubblica;
• una perturbazione del servizio fornito dal soggetto potrebbe comportare un rischio sistemico significativo, in particolare per i settori nei quali tale perturbazione potrebbe avere un impatto transfrontaliero;
• il soggetto sia critico in ragione della sua particolare importanza a livello nazionale o regionale per quel particolare settore o tipo di servizio o per altri settori indipendenti nel territorio dello Stato.

Come si può notare, sono molti i fornitori ICT che sono soggetti alla NIS 2 e, come precedentemente evidenziato, l’equivalenza fra DORA e NIS 2 implica che i requisiti, in ambito sicurezza che DORA impone alle entità finanziarie, sono i medesimi che la NIS 2 impone ai citati fornitori ICT.

NIS 2 e Decreto legislativo 138

Il Decreto legislativo 4 settembre 2024, n. 138, aggiunge a quelle precedentemente individuate, un’altra serie di azienda soggette alla NIS 2 di nostro interesse, ed in particolare, indipendentemente dalle loro dimensioni, le imprese collegate a un soggetto essenziale o importante, che soddisfano almeno uno dei seguenti criteri:

• adottano decisioni o esercitano un’influenza dominante sulle decisioni relative alle misure di gestione del rischio per la sicurezza informatica di un soggetto importante o essenziale;
• detengono o gestiscono sistemi informativi e di rete da cui dipende la fornitura dei servizi del soggetto importante o essenziale;
• effettuano operazioni di sicurezza informatica del soggetto importante o essenziale;
• forniscono servizi TIC o di sicurezza, anche gestiti, al soggetto importante o essenziale.

Per quest’ultima categoria di aziende sono di interesse 2 fattispecie:

• nei gruppi bancari, le società del gruppo che forniscono servizi Ict alle banche, diventano esse stesse soggette alla NIS 2;
• la stessa logica si applica ovviamente a tutti gli altri gruppi nei quali una società di servizi Ict sia fornitore di un’azienda del gruppo soggetta alla NIS 2. Questo difficilmente può avere impatto per un’entità finanziaria, salvo che la società di servizi in questione offra i suoi servizi anche al resto del mercato e sia quindi un fornitore di una entità finanziaria.

L’impatto sui rapporti fra entità finanziarie e i fornitori Ict

Nell’ambito di applicazione della normativa DORA, le entità finanziarie possono richiedere a un loro fornitore Ict di mettere in atto un determinato requisito di sicurezza esclusivamenten dal punto di vista contrattuale.

Ma se il fornitore è anche soggetto alla NIS (considerando l’equivalenza delle due normative rispetto a tali requisiti) lo stesso requisito sarà imposto al fornitore da quest’ultima.

L’entità finanziaria non avrà quindi nessuna difficoltà a imporre contrattualmente un requisito che il fornitore dovrà in ogni caso implementare in quanto obbligato a farlo dalla NIS 2.

La mancata adozione da parte del fornitore di un requisito non è più un mancato adempimento contrattuale, ma una violazione alla normativa.

Un esempio

Vediamo come le due normative affrontano lo stesso requisito in ambito Ict, per esempio la gestione della patch.

DORA e il Regolamento delegato (UE) 2024/1774 della Commissione del 13 marzo 2024 citano il tema all’Articolo 10 gestione delle vulnerabilità e delle patch.

La NIS 2 e il regolamento di esecuzione (UE) 2024/2690 della commissione del 17 ottobre 2024 lo trattano all’interno del punto 6.6. Gestione delle patch di sicurezza dell’Allegato al citato Regolamento.

Lo stesso vale per gli altri requisiti, dove le differenze stanno principalmente nel dettaglio dell’esposizione.

In conclusione, per avere un potere contrattuale rilevante, sarà sufficiente che le entità finanziarie inseriscano nei loro contratti una clausola nella quale, genericamente, chiedono alle loro controparti (soggette alla NIS 2) di essere conformi a tutte le normative che li riguardano, per avere la certezza che anche i requisiti di DORA siano in gran parte soddisfatti.

Bibliografia

[1] Dora individua queste categorie di servizi Ict:

• servizi cloud: SaaS
• gestione dei progetti relativi alle TIC
• sviluppo delle TIC
• helpdesk per le TIC e assistenza di primo livello
• servizi di gestione della sicurezza delle TIC
• trasmissione dei dati
• analisi dei dati
• TIC, attrezzature e servizi di hosting (esclusi i servizi cloud)
• calcolo
• conservazione dei dati non cloud
• operatore di telecomunicazioni
• infrastrutture di rete
• hardware e dispositivi fisici
• concessione di licenze di software (esclusi SaaS)
• gestione del funzionamento delle TIC (compresa la manutenzione)
• consulenza in materia di TIC
• gestione dei rischi informatici
• servizi cloud: IaaS
• PaaS
• SaaS

[2] Recepimento della direttiva (UE) 2022/2555, relativa a misure per un livello comune elevato di cibersicurezza nell’Unione, recante modifica del regolamento (UE) n. 910/2014 e della direttiva (UE)2018/1972 e che abroga la direttiva (UE) 2016/1148. (24G00155) (GU n.230 del 1-10-2024).