L'acquisto di servizi e prodotti digitali da parte delle amministrazioni pubbliche e degli enti locali espone l'organizzazione a rischi tecnologici e di compliance che devono essere gestiti già nella fase di progettazione del bando e del contratto. Questo articolo offre una checklist pratica, principi da includere nel capitolato e esempi di clausole contrattuali da adattare al contesto.

Perché includere clausole di cybersecurity nel procurement

  • Ridurre il rischio operativo e la superficie d'attacco derivante da fornitori e terze parti.
  • Garantire il rispetto di obblighi normativi (es. GDPR, NIS2, requisiti di resilientità tecnologica a livello europeo e nazionale) da parte di chi fornisce servizi e prodotti.
  • Definire responsabilità, livelli di servizio e meccanismi di controllo per incidenti, vulnerabilità e gestione dei dati.

A chi si rivolgono queste indicazioni

Queste indicazioni sono pensate per uffici acquisti, responsabili dei contratti, RUP, responsabili della protezione dei dati (DPO), CISOs e team legali di pubbliche amministrazioni ed enti che bandiscono gare o stipulano contratti per beni e servizi ICT.

Principi da inserire nel bando e nel capitolato

  • Security by contract: la conformità alla sicurezza deve essere parte integrante dei requisiti contrattuali, non un elemento opzionale.
  • Proporzionalità: requisiti commisurati al rischio del servizio o bene acquistato (es. infrastrutture critiche vs. servizi informativi di back-office).
  • Trasparenza nei livelli di responsabilità e nelle catene di fornitura (subappalto e supply chain).
  • Verificabilità: diritto dell'amministrazione a eseguire audit, ispezioni e test di sicurezza.
  • Continuità e resilienza: obblighi su backup, continuità operativa e ripristino.
  • Protezione dei dati personali e segnalazione degli incidenti: sincronizzati con gli obblighi di legge.

Checklist operativa per la fase di preparazione del bando

  1. Identificare asset, dati e processi critici coinvolti dal contratto.
  2. Valutare la categorizzazione del rischio e scegliere i requisiti minimi di sicurezza.
  3. Definire i requisiti di conformità normativa (es. GDPR, NIS2, disposizioni nazionali) da richiedere al fornitore.
  4. Inserire obblighi su gestione delle vulnerabilità (scan, patching, disclosure).
  5. Richiedere piani di incident response e tempi massimi di notifica per le violazioni.
  6. Specificare diritti di audit e testing (incluso penetration testing) con limiti operativi e condizioni di sicurezza.
  7. Regolare subappalto e supply chain: obbligo del fornitore di trasmettere gli stessi requisiti ai subfornitori.
  8. Definire SLA di sicurezza e metriche misurabili (tempo di ripristino, tempo di rilevamento, percentuale patching).
  9. Stabilire meccanismi di controllo, reportistica e cadenze di revisione.
  10. Prevedere misure economiche e contrattuali in caso di inadempimento (penali, risoluzione, obbligo di mitigazione).

Requisiti tecnici e organizzativi da considerare

  • Controlli di accesso e gestione delle identità (principio del minimo privilegio).
  • Logging e monitoraggio con conservazione adeguata per finalità investigative.
  • Crittografia dei dati in transito e a riposo quando appropriato.
  • Gestione della configurazione sicura e hardening dei sistemi.
  • Patch management con tempi massimi definiti per aggiornamenti critici.
  • Backup, piano di disaster recovery e test periodici di ripristino.
  • Protezione della supply chain software (verifica firme, gestione dipendenze, SBOM ove possibile).
  • Programmi di formazione del personale del fornitore e misure di controllo degli accessi fisici.

Esempi di clausole pratiche (da adattare e revisionare dal legale)

  • Clausola di conformità normativa

    • "Il Fornitore garantisce la conformità alle normative applicabili in materia di protezione dei dati personali e sicurezza delle reti e dei sistemi informativi, e si impegna a fornire evidenze documentali su richiesta dell'Amministrazione."

  • Clausola di segnalazione incidenti

    • "Il Fornitore notificherà all'Amministrazione qualsiasi incidente di sicurezza rilevante entro [tempo massimo proporzionato, es. 24/72 ore] dalla scoperta, fornendo informazioni sulla natura dell'incidente, impatti, misure adottate e piano di mitigazione."

  • Clausola di gestione delle vulnerabilità

    • "Il Fornitore eseguirà scansioni periodiche delle vulnerabilità, comunicherà le vulnerabilità critiche e applicherà patch entro i tempi previsti dal piano di sicurezza concordato. È obbligo del Fornitore fornire report di remediation quando richiesto."

  • Clausola di audit e test

    • "L'Amministrazione ha il diritto di eseguire audit, ispezioni e penetration test, con preavviso ragionevole, o di affidare tali attività a terzi autorizzati; il Fornitore coopererà e non ostacolerà tali attività."

  • Clausola su subappalto e supply chain

    • "Il Fornitore è responsabile del rispetto dei medesimi obblighi di sicurezza da parte dei propri subfornitori e dovrà comunicare all'Amministrazione l'elenco dei subappaltatori critici."

  • Clausola su responsabilità e penali

    • "In caso di inadempimento degli obblighi di sicurezza che comporti un danno all'Amministrazione, il Fornitore sarà responsabile e soggetto a penali contrattuali e ad obbligo di risarcimento, nei limiti previsti dal contratto e dalla normativa vigente."

Controllo del ciclo di vita e gestione post-contrattuale

  • Prevedere revisioni periodiche del contratto in funzione dell'evoluzione del rischio tecnologico.
  • Imporre l'obbligo di gestione sicura alla fine del rapporto (data return/wipe, trasferimento dati, certificazione di cancellazione).
  • Definire procedure di exit che minimizzino impatti operativi e di sicurezza.

Come integrare le norme nazionali ed europee senza essere vincolati alla burocrazia

  • Richiedere al fornitore evidenze di conformità (policy, certificazioni, attestazioni) e tradurle in requisiti operativi misurabili.
  • Utilizzare criteri di aggiudicazione che valorizzino la capacità di gestione della sicurezza (offerta tecnica con piani, CV del team, esiti di assessment).

Conclusione e raccomandazioni rapide

  • Iniziate a inserire requisiti di sicurezza già nella fase di progettazione del bando.
  • Predisponete clausole chiare, misurabili e verificabili: i termini vaghi generano conflitti.
  • Coordinate acquisti e team di sicurezza per valutare rischi e soglie adeguate.
  • Affidate la revisione finale delle clausole al legale e al DPO/CISO.

Adattare le clausole proposte al contesto specifico e farle validare dai servizi legali e di compliance della propria amministrazione. L'obiettivo è trasformare il procurement in uno strumento attivo di gestione del rischio digitale, non solo in una procedura amministrativa.