Con la direttiva (UE) 2022/2555 - NIS 2, l'Unione Europea ha ridefinito il concetto di sicurezza nei sistemi pubblici e negli operatori economici essenziali. Non è più solo un tema tecnico: la sicurezza informatica diventa criterio di legittimità amministrativa e potenziale fonte di responsabilità erariale e contrattuale.
Con il D.Lgs. 12 agosto 2024, n. 138, l’Italia ha recepito la Direttiva (UE) 2022/2555 — NIS2.
La domanda, ora, è concreta: quante gare ICT bandite secondo il Codice dei contratti rispettano davvero gli obblighi NIS2?
Poche. Forse nessuna.
⸻
1️⃣ Quando la sicurezza informatica diventa requisito di legittimità
L’art. 21 NIS2 — oggi recepito dal D.Lgs. 138/2024 — impone a tutti gli operatori essenziali e importanti (incluse PA, in house, utilities e gestori di servizi digitali) di adottare misure tecniche e organizzative adeguate ai rischi.
È un obbligo ex lege, non un’opzione.
Nel Codice dei contratti pubblici (art. 57, D.Lgs. 36/2023) si richiedono “livelli adeguati di sicurezza, interoperabilità e qualità dei servizi digitali”.
La NIS2, ora parte del diritto interno, riempie di contenuto giuridico quel concetto di “sicurezza”.
💥 Conseguenza diretta: un contratto affidato a un operatore non conforme può essere viziato nella sua legittimità, con responsabilità diretta del RUP per mancato controllo.
⸻
2️⃣ Gare in corso, bandi inadeguati, RUP senza strumenti
Le stazioni appaltanti si trovano ora a dover applicare obblighi già vigenti, senza strumenti attuativi chiari.
Le linee guida dell’Agenzia per la Cybersicurezza Nazionale (ACN) sono in fase di consolidamento, ma nel frattempo gli appalti proseguono secondo prassi precedenti.
Esempio reale:
Una ASL aggiudica un servizio di telemedicina cloud.
Il fornitore non dispone di un sistema di gestione del rischio cyber conforme alla NIS2 (monitoraggio continuo, incident reporting, piani di continuità).
La fornitura è formalmente aggiudicata, ma sostanzialmente non conforme a una norma cogente.
❗️Catena di responsabilità:
• Fornitore → inadempimento contrattuale;
• PA → violazione di obblighi di vigilanza e di scelta del contraente;
• Dirigente → potenziale danno erariale per affidamento negligente.
La cybersicurezza è diventata una nuova clausola di legittimità sostanziale.
⸻
3️⃣ Il falso positivo della “compliance formale”
Molte PA si dichiarano conformi per il solo fatto di possedere certificazioni ISO 27001 o seguire linee guida AgID.
Ma la NIS2 (artt. 20–23 D.Lgs. 138/2024) richiede molto di più:
gestione dinamica del rischio, governance integrata e cooperazione con CSIRT e ACN.
Risultato: un falso positivo giuridico.
Un’amministrazione apparentemente conforme ma, in realtà, esposta a responsabilità per mancata adozione di misure sostanziali.
I RUP, spesso privi di formazione cyber, non dispongono di strumenti per distinguere tra adempimento formale e sostanziale.
Il sistema rischia così di essere conforme nei documenti, ma vulnerabile nei fatti.
⸻
4️⃣ Proporzionalità: il nuovo ponte tra diritto degli appalti e sicurezza
Il principio cardine di collegamento tra Codice e NIS2 è la proporzionalità.
Negli appalti, misura l’adeguatezza dei requisiti ai fini dell’affidamento; nella NIS2, calibra la robustezza delle misure di sicurezza in funzione del rischio.
📌 Ne deriva che un bando ICT che non contempli una valutazione dei rischi informatici o che privilegi esclusivamente il prezzo può risultare sproporzionato e quindi illegittimo.
👉 È plausibile che la giurisprudenza amministrativa estenda presto il sindacato di legittimità anche a carenze istruttorie in materia di sicurezza digitale, inaugurando un nuovo tipo di “illegittimità sostanziale”.
⸻
5️⃣ Come muoversi ora: percorso minimo per le PA
Le amministrazioni possono — e devono — integrare subito i requisiti NIS2 nella gestione degli appalti ICT.
Cinque passaggi minimi:
1. Mappare i servizi ICT critici, verificando se rientrano nei settori NIS2 (sanità, energia, trasporti, PA digitale).
2. Inserire nei capitolati clausole di conformità NIS2, prevedendo adeguamenti dinamici e penali per inadempienza.
3. Richiedere evidenze di gestione del rischio cyber, oltre le mere certificazioni.
4. Coordinare RUP, DPO, RTD e responsabile sicurezza ICT in una valutazione unitaria.
5. Prevedere audit periodici obbligatori come condizione contrattuale.
Queste misure sono ora parte integrante della legalità amministrativa digitale.
⸻
6️⃣ Dalla “amministrazione digitale” all’“amministrazione ciberneticamente diligente”
Con il D.Lgs. 138/2024, la diligenza amministrativa assume una dimensione nuova: la resilienza informatica.
Un’amministrazione incapace di garantire la sicurezza dei propri sistemi non può dirsi né efficiente né imparziale.
Tre conseguenze sistemiche:
• la trasparenza include la verificabilità delle misure di sicurezza;
• la motivazione degli atti di gara deve esplicitare la gestione del rischio digitale;
• la responsabilità si estende alle omissioni nella prevenzione delle vulnerabilità.
Nasce così la figura della amministrazione ciberneticamente diligente, che unisce legalità, sicurezza e accountability.
⸻
7️⃣ I fronti di contenzioso già prevedibili
Con la normativa ora in vigore, i TAR dovranno affrontare nuove questioni:
• Vincolatività delle linee guida ACN: fonte interpretativa o parametro cogente?
• Valutazione della proporzionalità delle misure di sicurezza: competenza tecnica del giudice o necessità di perizia?
• Difetto di sicurezza come vizio di legittimità: annullabilità o mera irregolarità?
• Rapporto tra economicità e sicurezza: quale principio prevale?
• Responsabilità del RUP: quale grado di colpa nell’affidamento a fornitori non conformi?
Domande aperte che annunciano un nuovo contenzioso di frontiera.
⸻
8️⃣ NIS2 come nuovo parametro di legalità amministrativa
Il D.Lgs. 138/2024 non è un provvedimento tecnico, ma una riforma sistemica.
Trasforma la sicurezza informatica in parametro di legalità sostanziale dell’azione amministrativa e in misura della capacità istituzionale di prevenire il rischio.
Ignorare oggi questi obblighi significa stipulare contratti già potenzialmente viziati.
Chi integra la NIS2 nella gestione degli appalti anticipa il rischio e si posiziona in vantaggio competitivo e giuridico.
⸻
🔎 Invito al confronto
Il recepimento NIS2 è una svolta normativa che ridefinisce il rapporto tra diritto, tecnologia e responsabilità pubblica.
Serve ora un confronto interdisciplinare tra giuristi, tecnici e decisori.
Una PA ciberneticamente diligente non è solo conforme:
è un’amministrazione che governa il rischio, non che lo subisce.
💬 Come state integrando oggi la sicurezza informatica nei vostri bandi ICT?