Nel giro di poche settimane, una serie di attacchi informatici ai sistemi di refrigerazione ha mostrato in modo particolarmente concreto come la compromissione di tecnologie connesse possa produrre conseguenze immediate nel mondo fisico. Dopo gli episodi che in ottobre hanno interessato centinaia di supermercati francesi, all’inizio di novembre anomalie e manomissioni dei sistemi di refrigerazione sono state segnalate in almeno nove Paesi europei, inclusa l’Italia, costringendo diversi operatori a eliminare prodotti alimentari deteriorati. Pochi giorni dopo, un attacco ha coinvolto anche tre siti dell’Établissement Français du Sang, dove l’alterazione da remoto dei parametri delle celle frigorifere ha messo a rischio campioni e sacche di plasma, salvati grazie all’intervento dei sistemi di allarme.
Episodi di questo tipo evidenziano come la cybersecurity non riguardi più soltanto la protezione dei sistemi informatici direttamente gestiti dall’impresa, ma anche le tecnologie, le infrastrutture e i fornitori dai quali dipende la continuità dell’attività. È in questo contesto che, il 20 gennaio 2026, la Commissione europea ha presentato la proposta del cosiddetto Cybersecurity Act 2 (CSA2), destinato, se approvato, ad abrogare e sostituire il Regolamento (UE) 2019/881. La proposta mira a rafforzare il ruolo dell’Agenzia dell’Unione europea per la cibersicurezza (ENISA), rivedere il sistema europeo di certificazione e, soprattutto, introdurre un nuovo quadro per la valutazione dei rischi connessi alle catene di approvvigionamento tecnologiche.
Un quadro europeo più operativo
Il Cybersecurity Act del 2019 aveva costruito il sistema europeo principalmente attorno al ruolo di ENISA e a un quadro comune di certificazione per prodotti, servizi e processi nell’Information and Communication Technology (ICT). Nel frattempo, la crescente sofisticazione degli attacchi informatici e le tensioni che interessano le supply chain tecnologiche hanno modificato sensibilmente il contesto nel quale tale sistema opera.
Il CSA2 punta quindi a rafforzare le funzioni di coordinamento e supporto di ENISA e a rendere più efficace il sistema europeo di certificazione. Per le imprese, assume particolare interesse anche il possibile collegamento tra certificazione e conformità normativa, poiché, ove ricorrano le condizioni previste dalla disciplina applicabile, una certificazione europea potrebbe contribuire a dimostrare il rispetto di determinati obblighi in materia di cybersecurity.
La supply chain entra nella valutazione del rischio
La novità più significativa riguarda tuttavia la sicurezza della catena di approvvigionamento ICT. Anche un’impresa dotata di adeguate misure interne può infatti risultare vulnerabile attraverso software, servizi cloud, infrastrutture di rete o altre tecnologie fornite da soggetti esterni.
La proposta prevede quindi valutazioni coordinate a livello europeo che tengano conto non soltanto delle vulnerabilità tecniche, ma anche di rischi di natura non tecnica, inclusa la possibilità che un fornitore sia soggetto all’influenza di un Paese terzo in circostanze tali da compromettere la continuità del servizio, la sicurezza dei dati o l’integrità della tecnologia. La valutazione non riguarderebbe più soltanto quanto sia sicuro un prodotto o un servizio, ma anche chi lo fornisce, chi ne esercita il controllo e quale livello di dipendenza si sia creato nei confronti di quel soggetto.
In presenza dei presupposti previsti dalla proposta, potrebbero essere adottate misure quali la diversificazione della supply chain, verifiche tecniche indipendenti, limitazioni al trattamento o al trasferimento dei dati e restrizioni all’esternalizzazione di determinate attività. Per specifiche categorie di soggetti rientranti nell’ambito della NIS2 potrebbe inoltre essere limitato l’utilizzo di componenti ICT provenienti da fornitori qualificati come ad alto rischio.
La dimensione internazionale del nuovo quadro è particolarmente rilevante per le imprese che operano attraverso supply chain globali. Sebbene il CSA2 sia una normativa europea, le sue conseguenze potrebbero infatti riguardare anche fornitori ICT stabiliti al di fuori dell’UE che forniscono tecnologie, servizi o infrastrutture a operatori europei, soprattutto quando la struttura proprietaria, il controllo o i rapporti con Paesi terzi assumano rilievo nella valutazione del rischio.
Cosa potrebbe cambiare per le imprese
Se l’impostazione del CSA2 venisse confermata, nella scelta di un fornitore ICT, accanto a prezzo, qualità e caratteristiche tecniche, assumerebbero rilievo anche la struttura proprietaria, il ricorso a subfornitori, il grado di dipendenza dalla tecnologia utilizzata e la possibilità di sostituirla senza conseguenze rilevanti sulla continuità operativa.
Questi profili avrebbero inevitabili riflessi anche sulla contrattualistica, soprattutto nei rapporti di lunga durata e nelle supply chain articolate su più giurisdizioni. Potrebbe diventare opportuno disciplinare con maggiore attenzione gli effetti di eventuali modifiche normative, i cambiamenti nella proprietà o nel controllo del fornitore, anche attraverso clausole di change of control, il ricorso a subfornitori e gli obblighi di informazione e collaborazione, prevedendo al tempo stesso meccanismi che consentano di gestire la sostituzione della tecnologia o, se necessario, l’uscita anticipata dal rapporto.
Per i gruppi multinazionali, ciò può richiedere anche un maggiore coordinamento tra le diverse società del gruppo, soprattutto quando gli stessi fornitori o le medesime soluzioni tecnologiche vengono utilizzati in più giurisdizioni.
Una valutazione analoga può assumere rilievo nelle operazioni di M&A. Se la target dipende significativamente da fornitori o tecnologie difficilmente sostituibili, un’eventuale necessità di migrazione può incidere sui costi di integrazione, sulla continuità dell’attività e, nei casi più rilevanti, sulla valutazione complessiva dell’operazione. Anche la due diligence dovrebbe pertanto considerare il grado di dipendenza tecnologica della società e la flessibilità dei relativi rapporti contrattuali.
Il settore delle telecomunicazioni rappresenta uno degli esempi più evidenti della possibile portata economica del nuovo approccio: per alcune componenti essenziali delle reti, la proposta contempla infatti la possibilità di limitare l’utilizzo di tecnologie provenienti da fornitori ad alto rischio e, in determinate circostanze, di richiederne la progressiva sostituzione.
Come prepararsi
Il CSA2 è ancora una proposta legislativa e il testo potrà essere modificato durante l’iter europeo. È tuttavia già possibile utilizzare questa fase per verificare se l’attuale assetto contrattuale e organizzativo dell’impresa sia sufficientemente flessibile per gestire eventuali nuove restrizioni sui fornitori ICT o sulla supply chain tecnologica.
Un primo passo può consistere nell’individuazione dei fornitori strategici e delle tecnologie difficilmente sostituibili, accompagnata dalla revisione dei contratti in essere per verificare la presenza di clausole relative a modifiche normative, change of control, subfornitura, audit, obblighi di informazione e cooperazione, sostituzione della tecnologia e risoluzione anticipata. Eventuali carenze possono essere affrontate in occasione del rinnovo o della rinegoziazione dei rapporti contrattuali, mentre per i gruppi internazionali può essere opportuno definire criteri e clausole comuni da applicare nelle diverse giurisdizioni.
Si tratta di attività che mantengono una propria utilità indipendentemente dal contenuto definitivo del CSA2 e che consentono di anticipare possibili criticità prima che si traducano in obblighi di sostituzione, rinegoziazioni urgenti o interruzioni nella continuità operativa. In questa prospettiva, la preparazione al nuovo quadro europeo passa non soltanto dalla conoscenza delle proprie dipendenze tecnologiche, ma anche dalla capacità di tradurle in adeguati strumenti contrattuali, procedure interne e presidi di governance.
