Termini e Condizioni
Servizio vCISO di Blue Networks S.r.l. a socio unico
Ultimo aggiornamento: 10 Marzo 2026
I presenti Termini e Condizioni Generali per i Servizi vCISO (“Termini” o “Condizioni Generali”) disciplinano la fornitura dei servizi di Virtual Chief Information Security Officer e dei servizi connessi di consulenza, governance, gestione del rischio, compliance, resilienza digitale e sicurezza delle informazioni (“Servizi vCISO”) prestati da Blue Networks S.r.l. a socio unico, P. IVA 03486300837, con sede in 98051 Barcellona Pozzo di Gotto, ME, Italia (“Blue Networks” o “Fornitore”), in favore di clienti professionali, imprese, enti, pubbliche amministrazioni, società, organizzazioni regolamentate o altri soggetti che agiscano per finalità inerenti alla propria attività imprenditoriale, commerciale, artigianale, professionale o istituzionale (“Cliente”).
I presenti Termini si applicano esclusivamente a rapporti B2B o comunque professionali. Non sono destinati a rapporti con consumatori ai sensi del D.Lgs. 206/2005. Qualora un soggetto intenda acquistare servizi in qualità di consumatore, dovranno applicarsi condizioni contrattuali separate e specificamente predisposte.
L’accettazione di un preventivo, offerta, proposta commerciale, ordine, modulo d’ordine, statement of work, lettera d’incarico, contratto quadro, ordine online, conferma via e-mail, firma elettronica, oppure l’inizio dell’esecuzione dei Servizi vCISO con il consenso del Cliente, comporta accettazione dei presenti Termini.
1. Definizioni
Ai fini dei presenti Termini:
“Accordo” indica l’insieme costituito dai presenti Termini, dall’Offerta, dall’Ordine, da eventuali allegati tecnici, statement of work, accordi sul trattamento dei dati personali, security schedule, ordini di acquisto accettati da Blue Networks e ulteriori documenti contrattuali espressamente richiamati.
“Attività Fuori Perimetro” indica qualsiasi attività non espressamente prevista nell’Offerta o nell’Ordine, inclusi ampliamenti di scopo, attività urgenti, attività tecniche aggiuntive, analisi normative ulteriori, supporto emergenziale, partecipazione straordinaria a riunioni, revisione di documentazione non prevista o produzione di deliverable aggiuntivi.
“Cliente” indica il soggetto professionale, imprenditoriale, societario, pubblico, istituzionale o regolamentato che acquista o utilizza i Servizi vCISO.
“Dati del Cliente” indica dati, informazioni, documenti, file, log, registri, configurazioni, informazioni di sistema, policy, contratti, architetture, credenziali, report, evidenze di audit, dati personali, informazioni di sicurezza, informazioni sui fornitori, informazioni sui prodotti, vulnerabilità, registri dei rischi e ogni altro materiale fornito o reso disponibile dal Cliente a Blue Networks.
“Deliverable” indica report, assessment, verbali, policy, procedure, piani di remediation, roadmap, analisi dei rischi, registri, matrici, presentazioni, piani di sicurezza, documentazione di compliance, materiali formativi, raccomandazioni scritte o altri elaborati predisposti da Blue Networks nell’ambito dell’incarico.
“Incidente di Sicurezza” indica qualsiasi evento, anomalia, sospetta compromissione, accesso non autorizzato, perdita di disponibilità, integrità, riservatezza o autenticità, vulnerabilità sfruttata, data breach, compromissione di sistemi o evento idoneo a incidere sulla sicurezza di reti, sistemi, dati, prodotti, servizi o processi del Cliente.
“Informazioni Riservate” indica qualsiasi informazione non pubblica comunicata da una parte all’altra, in qualunque forma, inclusi dati tecnici, commerciali, economici, legali, organizzativi, di sicurezza, architetturali, contrattuali, strategici, personali, relativi a vulnerabilità, incidenti, fornitori, clienti, prodotti o sistemi.
“Offerta” indica il preventivo, proposta commerciale, ordine, modulo d’ordine, statement of work, contratto quadro, lettera d’incarico o altro documento accettato dalle parti che descriva i Servizi vCISO.
“Perimetro” indica l’ambito dei Servizi vCISO concordato dalle parti, inclusi attività, sistemi, asset, prodotti, sedi, società, processi, fornitori, normative, standard, deliverable, tempistiche, presupposti, esclusioni e limiti quantitativi.
“Servizi vCISO” indica i servizi esterni di consulenza, indirizzo, coordinamento, supporto alla governance, gestione del rischio, compliance e sicurezza delle informazioni forniti da Blue Networks.
“CRA” indica il Regolamento (UE) 2024/2847, noto come Cyber Resilience Act, relativo ai requisiti orizzontali di cybersicurezza per prodotti con elementi digitali.
“Prodotto con Elementi Digitali” indica un prodotto con elementi digitali ai sensi del CRA, ossia, in sintesi, un prodotto software o hardware il cui uso previsto o ragionevolmente prevedibile includa una connessione dati logica o fisica, diretta o indiretta, a un dispositivo o a una rete.
2. Documenti Contrattuali e Ordine di Prevalenza
2.1. Il rapporto tra Blue Networks e il Cliente può essere composto dai seguenti documenti:
a. eventuale contratto quadro sottoscritto dalle parti;
b. Offerta, Ordine o statement of work applicabile;
c. eventuale accordo sul trattamento dei dati personali ai sensi dell’art. 28 GDPR;
d. eventuali allegati tecnici, security schedule, regole di ingaggio, SLA o DPA;
e. presenti Termini.
2.2. In caso di conflitto tra documenti, si applicherà il seguente ordine di prevalenza:
a. norme inderogabili di legge;
b. contratto quadro sottoscritto dalle parti;
c. accordo sul trattamento dei dati personali, limitatamente ai profili privacy;
d. Offerta, Ordine o statement of work;
e. allegati tecnici;
f. presenti Termini;
g. eventuali condizioni generali del Cliente solo se espressamente accettate per iscritto da Blue Networks.
2.3. Eventuali condizioni generali di acquisto, procurement terms, condizioni inserite in portali fornitori, ordini di acquisto o sistemi di pagamento del Cliente non si applicano e si intendono espressamente respinte, salvo specifica accettazione scritta di Blue Networks.
3. Natura dei Servizi e Riferimenti Normativi
3.1. I Servizi vCISO hanno natura consulenziale, organizzativa, tecnica e di supporto alla governance della sicurezza delle informazioni. Essi possono assistere il Cliente nell’identificazione, valutazione, pianificazione e miglioramento dei presidi di cybersecurity, gestione del rischio, compliance e resilienza digitale.
3.2. I Servizi vCISO possono riguardare, nei limiti del Perimetro concordato, riferimenti normativi e framework quali GDPR, D.Lgs. 196/2003, Direttiva NIS2 e D.Lgs. 138/2024, DORA, Cyber Resilience Act, ISO/IEC 27001, ISO/IEC 27002, ISO/IEC 27005, ISO 22301, NIST Cybersecurity Framework, CIS Controls, linee guida ENISA, ACN o altri standard applicabili. Il GDPR è il Regolamento (UE) 2016/679; DORA è il Regolamento (UE) 2022/2554 sulla resilienza operativa digitale del settore finanziario; il D.Lgs. 138/2024 recepisce in Italia la Direttiva NIS2.
3.3. Salvo espresso incarico separato, Blue Networks non presta attività riservate agli avvocati, non rilascia pareri legali vincolanti, non rappresenta il Cliente davanti ad autorità o giudici e non sostituisce consulenti legali, DPO, revisori, organismi notificati, organismi di certificazione o funzioni interne di controllo.
3.4. Le raccomandazioni di Blue Networks hanno natura tecnico-consulenziale e sono rese sulla base delle informazioni disponibili, del Perimetro concordato e dello stato dell’arte ragionevolmente applicabile al momento dell’attività.
4. Oggetto dei Servizi vCISO
4.1. In base all’Offerta, i Servizi vCISO possono includere:
a. supporto alla governance della cybersecurity;
b. cyber risk assessment e piani di trattamento del rischio;
c. redazione o revisione di policy, procedure, standard e linee guida;
d. definizione di roadmap di sicurezza;
e. supporto al management e agli organi decisionali;
f. reporting periodico sulla postura di sicurezza;
g. supporto alla compliance GDPR, NIS2, DORA, CRA, ISO/IEC 27001 o altri framework;
h. supporto alla gestione del rischio di terze parti e fornitori ICT;
i. supporto alla security awareness;
j. supporto alla predisposizione di registri, evidenze e documentazione di controllo;
k. supporto alla gestione dei processi di vulnerability management;
l. supporto a business continuity, disaster recovery e incident response planning;
m. supporto a audit interni, audit di clienti, audit assicurativi o audit di certificazione;
n. supporto alla governance della sicurezza di prodotto e del ciclo di sviluppo sicuro;
o. attività di coordinamento, indirizzo e prioritizzazione delle iniziative cyber.
4.2. Il contenuto specifico dei Servizi vCISO è esclusivamente quello indicato nell’Offerta. Qualsiasi attività non espressamente prevista si intende esclusa.
4.3. I Servizi possono essere svolti da remoto, in presenza o in modalità ibrida, secondo quanto concordato.
4.4. Salvo diversa previsione scritta, i Servizi vCISO sono erogati durante il normale orario lavorativo di Blue Networks e non includono presidio continuativo, reperibilità h24, monitoraggio h24 o SLA di risposta.
5. Natura del Ruolo vCISO e Assenza di Delega
5.1. Blue Networks opera quale consulente esterno e prestatore di servizi professionali. Salvo espresso accordo scritto, Blue Networks non assume il ruolo di:
a. CISO interno del Cliente;
b. dirigente, amministratore, procuratore, preposto, institore o dipendente del Cliente;
c. Responsabile della protezione dei dati ai sensi degli artt. 37-39 GDPR;
d. amministratore di sistema;
e. responsabile IT;
f. responsabile della sicurezza formalmente nominato ai sensi di normativa speciale;
g. funzione di internal audit;
h. organismo di certificazione;
i. organismo notificato o organismo di valutazione della conformità;
j. fabbricante, importatore, distributore o mandatario ai sensi del CRA;
k. funzione di controllo ICT ai sensi di DORA;
l. organo di gestione o funzione responsabile ai sensi della NIS2.
5.2. I Servizi vCISO non comportano trasferimento a Blue Networks di poteri decisionali, gestionali, rappresentativi, disciplinari, di firma, di spesa, di procurement, di assunzione, di controllo operativo o di titolarità sui sistemi del Cliente.
5.3. Ogni decisione relativa a budget, accettazione del rischio, implementazione di misure, priorità, nomine, notifiche, certificazioni, rilascio di prodotti, scelta dei fornitori, sospensione di servizi, comunicazioni a terzi o rapporti con autorità resta esclusivamente in capo al Cliente.
5.4. Qualsiasi nomina formale di Blue Networks o del suo personale a ruoli specifici richiederà atto scritto separato, con definizione di mandato, poteri, responsabilità, limiti, durata, compenso, coperture assicurative e condizioni operative.
6. Esclusioni Espresse
6.1. Salvo espressa inclusione scritta nell’Offerta, i Servizi vCISO non includono:
a. SOC, MDR, XDR, SIEM o monitoraggio continuativo;
b. incident response h24 o reperibilità emergenziale;
c. penetration test, red team, purple team o attività offensive;
d. vulnerability assessment tecnico ricorrente o gestito;
e. digital forensics, malware analysis o attività peritali;
f. gestione diretta di firewall, server, endpoint, cloud, reti, identity provider o ambienti di produzione;
g. sviluppo, rilascio o manutenzione di software;
h. servizi legali riservati ad avvocati;
i. incarico di DPO;
j. rilascio di certificazioni ISO;
k. rilascio di dichiarazioni UE di conformità, marcatura CE, certificati CRA o attestazioni da organismo notificato;
l. invio autonomo di notifiche a Garante Privacy, ACN, CSIRT Italia, ENISA, autorità finanziarie, clienti, interessati o terzi;
m. copertura assicurativa o intermediazione assicurativa;
n. garanzia di superamento di audit, certificazioni o ispezioni;
o. garanzia di assenza di vulnerabilità, incidenti, sanzioni o contestazioni;
p. attività su sistemi di terzi senza autorizzazione documentata.
6.2. Blue Networks può rifiutare qualsiasi attività che ritenga illecita, non autorizzata, sproporzionatamente rischiosa, contraria a diritti di terzi, incompatibile con il Perimetro o non coerente con buone pratiche professionali di cybersecurity.
7. Obblighi del Cliente
7.1. Il Cliente si impegna a collaborare in buona fede e a fornire a Blue Networks informazioni complete, corrette, aggiornate e non fuorvianti.
7.2. Il Cliente è responsabile di:
a. identificare i propri obblighi legali, contrattuali, regolamentari e settoriali;
b. indicare sistemi, sedi, prodotti, società, fornitori, processi e dati compresi nel Perimetro;
c. fornire documentazione, evidenze, accessi e referenti necessari;
d. garantire la liceità degli accessi concessi a Blue Networks;
e. ottenere autorizzazioni di terzi ove necessario;
f. mantenere backup, log, piani di continuità operativa e disaster recovery;
g. gestire credenziali, account, accessi privilegiati e revoche;
h. implementare le misure raccomandate, ove approvate;
i. decidere se accettare, mitigare, trasferire o evitare un rischio;
j. effettuare notifiche e comunicazioni obbligatorie, salvo incarico scritto specifico;
k. garantire la collaborazione di dipendenti, consulenti, affiliate e fornitori;
l. non trasmettere dati personali o informazioni eccedenti rispetto alle finalità del servizio.
7.3. Ritardi, omissioni, informazioni inesatte, mancata disponibilità di referenti, mancata consegna di documenti o mancata autorizzazione agli accessi sospendono o prorogano i termini di esecuzione e non costituiscono inadempimento di Blue Networks.
7.4. Il Cliente dovrà nominare un referente interno dotato di competenza, autorità e disponibilità adeguate per coordinare l’incarico.
8. Diligenza Professionale e Obbligazione di Mezzi
8.1. Blue Networks eseguirà i Servizi vCISO con diligenza professionale, tenendo conto della natura dell’attività svolta, del Perimetro concordato, delle informazioni disponibili e della collaborazione del Cliente. L’art. 1176 c.c. prevede che, nelle obbligazioni inerenti all’esercizio di un’attività professionale, la diligenza sia valutata con riguardo alla natura dell’attività esercitata.
8.2. Salvo espresso accordo scritto, i Servizi vCISO costituiscono obbligazioni di mezzi e non obbligazioni di risultato.
8.3. Qualora la prestazione implichi la soluzione di problemi tecnici di speciale difficoltà, troveranno applicazione i principi di cui all’art. 2236 c.c., nei limiti inderogabili di legge.
8.4. La cybersecurity è un ambito dinamico e non può essere garantita in termini assoluti. Le valutazioni di Blue Networks sono riferite al momento dell’analisi, al Perimetro concordato e alle informazioni effettivamente disponibili.
9. Accessi ai Sistemi e Amministratori di Sistema
9.1. Qualsiasi accesso di Blue Networks ai sistemi del Cliente dovrà essere autorizzato dal Cliente, proporzionato al Perimetro e limitato al minimo necessario.
9.2. Il Cliente dovrà assicurare che gli accessi concessi siano nominativi, tracciabili, limitati per ruolo, protetti da autenticazione adeguata, registrati ove tecnicamente possibile e revocati al termine dell’attività.
9.3. Salvo espresso accordo scritto, Blue Networks non assume il ruolo di amministratore di sistema del Cliente. Qualora le attività richiedano privilegi assimilabili a quelli di amministratore di sistema, le parti disciplineranno separatamente nomine, tracciamento, autorizzazioni, responsabilità e misure di controllo applicabili. Il provvedimento del Garante del 27 novembre 2008 richiama la particolare delicatezza delle funzioni di amministratore di sistema e dei relativi accessi privilegiati.
9.4. Il Cliente non dovrà comunicare password in chiaro, credenziali condivise, account non tracciabili o accessi non autorizzati.
9.5. Blue Networks potrà sospendere attività che comportino rischi sproporzionati, accessi non autorizzati o violazioni di legge.
10. Deliverable, Revisione e Accettazione
10.1. Blue Networks consegnerà i Deliverable previsti nell’Offerta secondo formato, lingua e modalità concordati.
10.2. Il Cliente dovrà esaminare ciascun Deliverable entro 10 giorni lavorativi dalla consegna e comunicare per iscritto eventuali contestazioni specifiche, motivate e riferite al Perimetro.
10.3. In assenza di contestazioni motivate entro tale termine, il Deliverable si intenderà accettato.
10.4. Non costituiscono difformità: richieste estetiche, preferenze redazionali, ampliamenti di Perimetro, mutamenti successivi di normativa, richieste ulteriori del Cliente, nuove informazioni non comunicate in precedenza o decisioni del Cliente non coerenti con le raccomandazioni ricevute.
10.5. Blue Networks potrà correggere errori materiali o difformità rispetto al Perimetro entro un termine ragionevole.
10.6. I Deliverable sono predisposti per uso interno del Cliente e non costituiscono certificazione, attestazione pubblica, parere legale vincolante, garanzia di conformità o dichiarazione destinata a terzi, salvo espresso accordo scritto.
11. GDPR, Dati Personali e DPA
11.1. Le parti si impegnano a rispettare il GDPR, il D.Lgs. 196/2003 e ogni altra normativa applicabile in materia di protezione dei dati personali. Il GDPR è il Regolamento (UE) 2016/679; il D.Lgs. 196/2003 costituisce il Codice italiano in materia di protezione dei dati personali, come adeguato al GDPR.
11.2. Qualora Blue Networks tratti dati personali per conto del Cliente e secondo istruzioni documentate del Cliente, le parti sottoscriveranno o renderanno applicabile un accordo di nomina a responsabile del trattamento ai sensi dell’art. 28 GDPR.
11.3. Qualora Blue Networks tratti dati personali per proprie finalità amministrative, contabili, fiscali, di sicurezza interna, gestione del rapporto, tutela dei diritti o compliance, agirà quale titolare autonomo del trattamento.
11.4. Il Cliente garantisce di disporre di idonea base giuridica per comunicare a Blue Networks dati personali, log, documenti, evidenze, informazioni sui dipendenti, fornitori o clienti.
11.5. Il Cliente dovrà evitare di trasmettere dati personali non necessari, dati particolari, dati giudiziari, dati sanitari, dati di monitoraggio dei dipendenti, credenziali in chiaro o log eccedenti, salvo che ciò sia strettamente necessario e disciplinato per iscritto.
11.6. Blue Networks adotterà misure tecniche e organizzative adeguate alla natura dei dati trattati e dei servizi prestati.
11.7. In caso di violazione dei dati personali che coinvolga trattamenti svolti da Blue Networks per conto del Cliente, Blue Networks informerà il Cliente secondo quanto previsto dal DPA applicabile.
11.8. Salvo mandato scritto specifico, Blue Networks non effettuerà notifiche al Garante, agli interessati o ad altri terzi per conto del Cliente.
11.9. La decisione circa la notifica di una violazione ai sensi degli artt. 33 e 34 GDPR resta in capo al Cliente, salvo diverso incarico scritto.
12. NIS2 e D.Lgs. 138/2024
12.1. Ove previsto nell’Offerta, Blue Networks può supportare il Cliente in attività di readiness, gap analysis e governance relative alla Direttiva NIS2 e al D.Lgs. 138/2024, che recepisce in Italia la Direttiva (UE) 2022/2555.
12.2. Il supporto può includere:
a. valutazione preliminare di applicabilità;
b. supporto alla classificazione come soggetto essenziale o importante;
c. mappatura dei requisiti di governance e gestione del rischio;
d. revisione di policy e procedure;
e. supporto alla gestione del rischio fornitori;
f. predisposizione di piani di adeguamento;
g. supporto alla definizione di procedure di incident management;
h. predisposizione di evidenze documentali;
i. reporting verso management e organi decisionali.
12.3. Il Cliente resta l’unico responsabile di:
a. determinare se rientra nel perimetro NIS2;
b. effettuare registrazioni, comunicazioni o autodichiarazioni eventualmente richieste;
c. adottare le misure tecniche, organizzative e di governance necessarie;
d. assicurare il coinvolgimento dell’organo di gestione;
e. notificare incidenti significativi ad ACN, CSIRT Italia o altre autorità;
f. conservare evidenze di compliance;
g. ottenere consulenza legale specialistica ove necessaria.
12.4. Blue Networks non garantisce che il Cliente sia o non sia soggetto alla disciplina NIS2, né garantisce la piena conformità al D.Lgs. 138/2024.
13. Cyber Resilience Act
13.1. Ove previsto nell’Offerta, Blue Networks può supportare il Cliente nella readiness al Cyber Resilience Act e nella governance della sicurezza di prodotto.
13.2. Il CRA, Regolamento (UE) 2024/2847, stabilisce requisiti orizzontali di cybersicurezza per prodotti con elementi digitali messi a disposizione sul mercato dell’Unione Europea. Il Regolamento si applica in via generale dall’11 dicembre 2027; l’art. 14 si applica dall’11 settembre 2026 e il Capo IV, artt. 35-51, dall’11 giugno 2026.
13.3. Il supporto CRA può includere:
a. valutazione preliminare di applicabilità;
b. identificazione dei Prodotti con Elementi Digitali;
c. mappatura del ruolo del Cliente come fabbricante, importatore, distributore, mandatario o altro operatore economico;
d. revisione della governance della sicurezza di prodotto;
e. revisione del secure development lifecycle;
f. supporto alla definizione di processi di vulnerability handling;
g. supporto alla gestione della SBOM;
h. supporto alla documentazione tecnica;
i. mappatura dei requisiti essenziali di cybersicurezza;
j. supporto alla scelta del percorso di valutazione della conformità;
k. predisposizione di playbook per vulnerabilità attivamente sfruttate o incidenti gravi;
l. supporto alla gestione di fornitori, componenti e dipendenze open source.
13.4. Salvo espresso accordo scritto, Blue Networks non assume il ruolo di:
a. fabbricante;
b. importatore;
c. distributore;
d. mandatario;
e. steward del software open source;
f. organismo notificato;
g. organismo di valutazione della conformità;
h. autorità di vigilanza del mercato;
i. product owner;
j. product security incident response team.
13.5. Blue Networks non immette prodotti sul mercato per conto del Cliente, non appone marcature CE, non rilascia dichiarazioni UE di conformità, non certifica prodotti, non mantiene la documentazione tecnica quale soggetto obbligato e non garantisce la conformità CRA.
13.6. Il Cliente resta l’unico responsabile di:
a. classificare i propri prodotti;
b. determinare il proprio ruolo ai sensi del CRA;
c. progettare, sviluppare e produrre prodotti conformi ai requisiti applicabili;
d. predisporre e mantenere la documentazione tecnica;
e. gestire vulnerabilità e aggiornamenti durante il periodo di supporto;
f. predisporre e firmare dichiarazioni UE di conformità;
g. apporre la marcatura CE ove richiesta;
h. selezionare organismi notificati ove necessari;
i. gestire richiami, ritiri, azioni correttive e comunicazioni di mercato;
j. inviare notifiche obbligatorie a ENISA, CSIRT o autorità competenti;
k. garantire la governance di fornitori, componenti e software open source.
13.7. Qualsiasi roadmap, gap assessment o raccomandazione CRA di Blue Networks ha natura consulenziale e non costituisce certificazione, attestazione di conformità, garanzia di commerciabilità, parere legale o autorizzazione all’immissione sul mercato.
13.8. Qualora il Cliente richieda supporto per segnalazioni ai sensi dell’art. 14 CRA, tale supporto dovrà essere oggetto di incarico scritto specifico. Anche in tal caso, il Cliente resta responsabile di completezza, accuratezza, tempestività e sufficienza legale della segnalazione.
14. DORA e Settore Finanziario
14.1. Ove previsto nell’Offerta, Blue Networks può supportare il Cliente in attività di readiness e governance relative a DORA, Regolamento (UE) 2022/2554, applicabile al settore finanziario e alla resilienza operativa digitale. DORA è applicabile dal 17 gennaio 2025.
14.2. Il supporto può includere:
a. gap assessment ICT risk management;
b. revisione di policy e procedure;
c. supporto alla gestione del rischio ICT di terze parti;
d. supporto al registro delle informazioni;
e. supporto ai processi di incident management;
f. supporto ai test di resilienza operativa digitale;
g. supporto al reporting verso organi aziendali o funzioni di controllo.
14.3. Il Cliente resta responsabile di determinare se DORA si applichi alla propria organizzazione, di adottare misure richieste, effettuare notifiche, gestire rapporti con autorità competenti e garantire la conformità complessiva.
14.4. Blue Networks non assume il ruolo di funzione interna di controllo, fornitore ICT critico, outsourcer regolamentato, rappresentante legale o soggetto incaricato di segnalazioni regolamentari, salvo accordo scritto separato.
15. Incidenti di Sicurezza e Supporto Emergenziale
15.1. Il supporto a Incidenti di Sicurezza è incluso solo se espressamente previsto nell’Offerta o attivato con specifico incarico scritto.
15.2. In assenza di retainer di incident response, SLA o accordo di reperibilità, Blue Networks non garantisce:
a. disponibilità h24;
b. risposta immediata;
c. presa in carico entro tempi definiti;
d. analisi forense;
e. malware analysis;
f. contenimento completo;
g. ripristino dei sistemi;
h. gestione di comunicazioni di crisi;
i. invio di notifiche legali o regolamentari.
15.3. In caso di Incidente di Sicurezza, il Cliente dovrà:
a. attivare le proprie procedure interne;
b. preservare log, evidenze, timestamp, sistemi interessati e backup;
c. evitare attività che compromettano evidenze;
d. coinvolgere funzioni legali, DPO, management e comunicazione;
e. valutare obblighi di notifica;
f. autorizzare per iscritto eventuali attività tecniche di Blue Networks.
15.4. Le raccomandazioni rese durante un incidente possono basarsi su informazioni incomplete, mutevoli e urgenti. Il Cliente resta responsabile di decisioni operative, legali, regolamentari, reputazionali e di business.
15.5. Salvo mandato scritto, Blue Networks non comunica con autorità, clienti, interessati, assicuratori, media, forze dell’ordine, ACN, CSIRT Italia, ENISA o altri terzi per conto del Cliente.
16. Attività Tecniche, Test e Regole di Ingaggio
16.1. Qualsiasi attività tecnica, scansione, verifica, raccolta log, controllo configurazioni, test, accesso o analisi su sistemi del Cliente richiede autorizzazione e Perimetro documentati.
16.2. Il Cliente garantisce di essere titolare o legittimo utilizzatore dei sistemi, account, dati e ambienti oggetto delle attività, oppure di avere ottenuto autorizzazioni valide dai terzi competenti.
16.3. Penetration test, red team, test offensivi, simulazioni di attacco o attività potenzialmente impattanti richiedono un documento separato di regole di ingaggio.
16.4. Blue Networks può interrompere attività tecniche qualora emergano rischi sproporzionati per disponibilità, integrità, riservatezza, continuità operativa, legalità o diritti di terzi.
17. Strumenti di Terze Parti
17.1. Blue Networks può utilizzare strumenti software, piattaforme cloud, sistemi di ticketing, strumenti documentali, piattaforme di videoconferenza, tool di assessment, fonti di threat intelligence, database di vulnerabilità o strumenti di project management.
17.2. Tali strumenti possono essere soggetti a condizioni, licenze, limitazioni, livelli di disponibilità e policy dei rispettivi fornitori.
17.3. Blue Networks non risponde di indisponibilità, malfunzionamenti, vulnerabilità, modifiche, aumenti di prezzo o cessazione di servizi terzi non sotto il proprio controllo, salvo dolo o colpa grave.
17.4. Costi di licenze, abbonamenti o strumenti richiesti specificamente dal Cliente saranno a carico del Cliente, salvo diversa previsione nell’Offerta.
18. Uso di Automazione e Intelligenza Artificiale
18.1. Blue Networks può utilizzare strumenti di automazione, script, strumenti di analisi, sistemi documentali o strumenti assistiti da intelligenza artificiale per migliorare efficienza e qualità del servizio.
18.2. Blue Networks non inserirà intenzionalmente Informazioni Riservate del Cliente, credenziali, dati personali, segreti commerciali o informazioni di sicurezza sensibili in sistemi pubblici o non governati di intelligenza artificiale, qualora ciò violi obblighi di riservatezza, sicurezza o protezione dei dati.
18.3. Output automatizzati o assistiti da AI che incidano materialmente sui Deliverable saranno soggetti a ragionevole revisione umana.
18.4. Il Cliente non dovrà basare decisioni legali, regolamentari, operative o di rilascio prodotto esclusivamente su output automatizzati.
19. Riservatezza
19.1. Ciascuna parte si impegna a proteggere le Informazioni Riservate dell’altra con diligenza non inferiore a quella usata per proteggere le proprie informazioni analoghe e comunque con ragionevole diligenza professionale.
19.2. Le Informazioni Riservate potranno essere usate solo per l’esecuzione dell’Accordo o per la tutela dei diritti delle parti.
19.3. Le Informazioni Riservate potranno essere comunicate solo a dipendenti, collaboratori, consulenti, subfornitori, auditor o professionisti che abbiano necessità di conoscerle e siano vincolati da obblighi di riservatezza.
19.4. Gli obblighi di riservatezza non si applicano a informazioni che:
a. siano pubbliche senza violazione dell’Accordo;
b. fossero già legittimamente note alla parte ricevente;
c. siano ricevute legittimamente da terzi senza vincoli;
d. siano sviluppate autonomamente senza uso di Informazioni Riservate;
e. debbano essere comunicate per legge, ordine giudiziario o ordine di autorità.
19.5. Gli obblighi di riservatezza durano per cinque anni dalla cessazione del rapporto. Per segreti commerciali, credenziali, vulnerabilità, architetture di sicurezza, dati personali e informazioni di sicurezza altamente sensibili, l’obbligo permane finché tali informazioni conservino natura riservata o protezione giuridica.
20. Proprietà Intellettuale
20.1. Restano di titolarità di Blue Networks metodologie, know-how, template, framework, checklist, script, strumenti, modelli, processi, librerie, materiali formativi, documentazione preesistente e competenze professionali.
20.2. Subordinatamente al pagamento integrale dei corrispettivi, Blue Networks concede al Cliente una licenza non esclusiva, non trasferibile, non sublicenziabile e limitata all’uso interno dei Deliverable.
20.3. Il Cliente non potrà, senza consenso scritto di Blue Networks:
a. rivendere i Deliverable;
b. pubblicarli;
c. distribuirli a terzi, salvo quanto necessario per audit, legali, assicuratori, autorità o certificatori;
d. usarli per erogare servizi a terzi;
e. rimuovere avvisi proprietari;
f. rivendicare titolarità su metodologie Blue Networks;
g. creare prodotti o librerie concorrenti basati sui materiali Blue Networks.
20.4. La protezione dei materiali, ove applicabile, resta disciplinata dalla Legge 22 aprile 1941, n. 633 sul diritto d’autore.
21. Conservazione, Restituzione e Cancellazione dei Dati
21.1. Alla cessazione dell’incarico, il Cliente potrà richiedere la restituzione dei materiali forniti, nei limiti tecnicamente e ragionevolmente praticabili.
21.2. Blue Networks potrà conservare copie di documenti, comunicazioni, Deliverable, registrazioni amministrative e prove dell’attività svolta nella misura necessaria per obblighi fiscali, contabili, legali, difesa di diritti, sicurezza, audit interno o compliance.
21.3. La cancellazione di dati personali trattati per conto del Cliente sarà disciplinata dal DPA applicabile.
21.4. Blue Networks non è tenuta a cancellare backup tecnici non immediatamente accessibili, purché gli stessi restino protetti e siano cancellati secondo i cicli ordinari di conservazione.
22. Corrispettivi, Fatturazione e Pagamenti
22.1. Corrispettivi, modalità di fatturazione, termini di pagamento, eventuali canoni, pacchetti ore, giornate, milestone, spese e costi di terzi sono indicati nell’Offerta.
22.2. Salvo diversa previsione, tutti gli importi sono al netto di IVA, imposte, ritenute, spese bancarie, costi di trasferta, alloggio, vitto, licenze, tool, abbonamenti e spese vive.
22.3. Salvo diversa previsione nell’Offerta, le fatture sono pagabili entro 30 giorni data fattura.
22.4. In caso di ritardo nel pagamento, Blue Networks potrà applicare interessi moratori e costi di recupero ai sensi del D.Lgs. 231/2002, sospendere i Servizi, richiedere pagamento anticipato, trattenere Deliverable non ancora consegnati o risolvere l’incarico.
22.5. Pacchetti ore, giornate prepagate o retainer devono essere utilizzati entro il periodo indicato nell’Offerta. Salvo diversa previsione, ore o giornate non utilizzate per cause imputabili al Cliente non sono rimborsabili.
22.6. Attività urgenti, fuori orario, festive, emergenziali o fuori Perimetro potranno essere soggette a tariffazione maggiorata.
22.7. Processi interni del Cliente, ritardi in ordini di acquisto, vendor onboarding, portali fornitori, approvazioni di budget o procedure amministrative non sospendono gli obblighi di pagamento se non concordati prima dell’avvio dei Servizi.
23. Modifiche di Perimetro
23.1. Qualsiasi modifica a Perimetro, Deliverable, tempistiche, sistemi, entità, prodotti, sedi, fornitori, normative, standard o priorità dovrà essere concordata per iscritto.
23.2. Blue Networks potrà emettere una nuova quotazione qualora:
a. il Cliente ampli il Perimetro;
b. emergano informazioni non comunicate;
c. aumentino complessità, urgenza o rischio;
d. siano coinvolte ulteriori società, sedi, sistemi o prodotti;
e. siano richieste analisi normative o tecniche aggiuntive;
f. il Cliente ritardi o modifichi priorità;
g. cambi il quadro normativo o organizzativo rilevante.
23.3. In mancanza di accordo, Blue Networks sarà tenuta a eseguire solo il Perimetro originario.
24. Durata, Recesso, Sospensione e Risoluzione
24.1. La durata dei Servizi è indicata nell’Offerta.
24.2. Salvo diversa previsione, i Servizi non si rinnovano automaticamente.
24.3. Per incarichi continuativi, ciascuna parte può recedere con 30 giorni di preavviso scritto, salvo diversa previsione nell’Offerta.
24.4. In caso di recesso del Cliente, restano dovuti:
a. corrispettivi maturati;
b. attività già svolte;
c. spese sostenute;
d. costi non cancellabili;
e. giornate o attività già pianificate e non annullabili;
f. canoni maturati fino alla data di efficacia del recesso.
24.5. Blue Networks potrà sospendere o risolvere l’Accordo con effetto immediato in caso di:
a. mancato pagamento;
b. violazione di obblighi di riservatezza o protezione dati;
c. richiesta di attività illecite;
d. mancata collaborazione sostanziale del Cliente;
e. informazioni false o fuorvianti;
f. violazione della proprietà intellettuale di Blue Networks;
g. conflitto di interessi sopravvenuto;
h. rischio legale, reputazionale o di sicurezza;
i. insolvenza o incapacità del Cliente di adempiere.
24.6. La cessazione dell’Accordo non pregiudica obblighi di pagamento, riservatezza, proprietà intellettuale, limitazioni di responsabilità, manleve, foro competente e disposizioni destinate a sopravvivere.
25. Uso Lecito dei Servizi
25.1. Il Cliente dovrà utilizzare i Servizi e i Deliverable esclusivamente per finalità lecite.
25.2. Il Cliente non potrà richiedere o utilizzare i Servizi per:
a. accedere abusivamente a sistemi;
b. compromettere reti o dati di terzi;
c. eludere illecitamente misure di sicurezza;
d. occultare violazioni o incidenti;
e. ingannare autorità, auditor, clienti, assicuratori o terzi;
f. violare norme privacy, lavoro, sorveglianza, proprietà intellettuale o cybersecurity;
g. svolgere attività offensive non autorizzate.
25.3. Blue Networks potrà rifiutare istruzioni che ritenga illecite, non etiche, non autorizzate o incompatibili con la pratica professionale.
26. Pubbliche Amministrazioni e Soggetti Regolamentati
26.1. Qualora il Cliente sia una pubblica amministrazione, ente pubblico, società in controllo pubblico, soggetto regolamentato o soggetto tenuto all’applicazione di regole speciali di procurement, sicurezza, classificazione, tracciabilità o audit, dovrà informare Blue Networks prima dell’avvio dell’incarico.
26.2. Per i contratti pubblici potranno applicarsi le norme inderogabili del D.Lgs. 36/2023 e ulteriori discipline speciali applicabili.
26.3. Il Cliente dovrà comunicare preventivamente CIG, CUP, obblighi di tracciabilità, requisiti di sicurezza, vincoli cloud, classificazione delle informazioni, condizioni speciali di procurement, regole di fatturazione elettronica o obblighi di conservazione.
26.4. Blue Networks non risponde di ritardi, sospensioni o non conformità derivanti da requisiti speciali non comunicati prima dell’avvio dei Servizi.
27. E-commerce, Accettazione Online e Prova dell’Accettazione
27.1. Qualora i Servizi siano acquistati tramite sito web, form online o piattaforma elettronica, il Cliente dovrà poter consultare, salvare e stampare i presenti Termini prima dell’accettazione, in coerenza con le regole sui servizi della società dell’informazione e commercio elettronico di cui al D.Lgs. 70/2003.
27.2. Blue Networks potrà conservare prova dell’accettazione, inclusi data e ora, indirizzo IP, versione dei Termini, utente, log di sistema, ordine, conferma e checkbox selezionate.
27.3. Per le clausole soggette ad approvazione specifica ex artt. 1341 e 1342 c.c., Blue Networks potrà richiedere una seconda checkbox separata, firma elettronica, doppia sottoscrizione o altra modalità idonea a dimostrare l’approvazione specifica.
28. Sanzioni, Export Control e Dual Use
28.1. Il Cliente dichiara di non essere soggetto a sanzioni che impediscano a Blue Networks di fornire i Servizi.
28.2. Il Cliente non utilizzerà i Servizi, i Deliverable, strumenti, script o informazioni ricevute in violazione di normative su sanzioni, export control, dual use, cybersecurity, segreti commerciali o sicurezza nazionale.
28.3. Qualora un’attività possa ricadere in regimi autorizzativi speciali, il Cliente dovrà informare Blue Networks prima dell’avvio.
29. Non Sollecitazione
29.1. Durante il rapporto e per 12 mesi dalla sua cessazione, il Cliente non potrà sollecitare, assumere, incaricare o contrattualizzare direttamente personale, collaboratori o consulenti di Blue Networks che abbiano partecipato in modo sostanziale all’erogazione dei Servizi, salvo consenso scritto di Blue Networks.
29.2. Il divieto non si applica a risposte spontanee a campagne di recruiting generali non rivolte specificamente a tali soggetti.
29.3. In caso di violazione, il Cliente dovrà corrispondere a Blue Networks, salvo il maggior danno e nei limiti dell’art. 1384 c.c., una penale pari al 30% della retribuzione annua lorda o del compenso annuo lordo riconosciuto al soggetto interessato. L’art. 1384 c.c. consente al giudice di ridurre equamente la penale se manifestamente eccessiva o in caso di esecuzione parziale dell’obbligazione.
30. Pubblicità e Referenze
30.1. Blue Networks non utilizzerà nome, logo o case study del Cliente in comunicazioni pubbliche senza consenso scritto del Cliente, salvo che il rapporto sia già pubblico o la comunicazione sia richiesta dalla legge.
30.2. Il Cliente non potrà usare nome, logo, report o Deliverable di Blue Networks in comunicazioni pubbliche, documenti commerciali, comunicazioni a clienti, assicuratori, regolatori o terzi in modo fuorviante o non autorizzato.
31. Assenza di Garanzia di Risultato
31.1. Blue Networks non garantisce:
a. assenza di vulnerabilità;
b. assenza di incidenti;
c. prevenzione di tutti gli attacchi;
d. rilevazione di tutte le minacce;
e. conformità integrale a GDPR, NIS2, DORA, CRA, ISO o altri framework;
f. superamento di audit;
g. ottenimento di certificazioni;
h. assenza di sanzioni o contestazioni;
i. conformità di prodotti al CRA;
j. accettazione da parte di autorità, clienti, assicuratori o organismi di certificazione;
k. eliminazione del rischio residuo.
31.2. Ogni valutazione di Blue Networks è riferita al Perimetro, alle informazioni disponibili e al momento dell’attività.
31.3. Il Cliente riconosce che la sicurezza informatica non è assoluta e che il rischio cyber non può essere eliminato integralmente.
32. Responsabilità di Blue Networks
32.1. Blue Networks risponde dei danni diretti, immediati e prevedibili derivanti da proprio inadempimento comprovato, nei limiti dei presenti Termini e della legge applicabile.
32.2. Nessuna clausola dei presenti Termini limita o esclude la responsabilità di Blue Networks per dolo o colpa grave, né per violazione di obblighi derivanti da norme di ordine pubblico. L’art. 1229 c.c. vieta patti che escludano o limitino preventivamente la responsabilità per dolo o colpa grave e per violazione di obblighi derivanti da norme di ordine pubblico.
32.3. Salvo dolo o colpa grave, Blue Networks non risponde di:
a. danni indiretti, consequenziali, speciali o punitivi;
b. perdita di profitto, fatturato, chance, avviamento o reputazione;
c. fermo operativo o perdita di produttività;
d. perdita, corruzione o indisponibilità di dati dovuta a sistemi, backup o infrastrutture del Cliente;
e. sanzioni, penali o pretese di terzi derivanti da decisioni, omissioni o non conformità del Cliente;
f. mancata implementazione di raccomandazioni;
g. informazioni inesatte, incomplete o tardive fornite dal Cliente;
h. vulnerabilità preesistenti o fuori Perimetro;
i. sistemi, software, componenti open source, fornitori o servizi di terzi;
j. attacchi informatici, zero-day o attività di threat actor non causati da Blue Networks;
k. condotte di dipendenti, collaboratori, affiliate, fornitori o utenti del Cliente;
l. attività fuori Perimetro.
32.4. Salvo dolo o colpa grave e nei limiti consentiti dalla legge, la responsabilità complessiva di Blue Networks per pretese derivanti dai Servizi vCISO non potrà eccedere l’importo effettivamente corrisposto dal Cliente a Blue Networks per gli specifici Servizi vCISO nei 12 mesi precedenti l’evento che ha dato origine alla pretesa.
32.5. Qualora l’incarico abbia durata inferiore a 12 mesi, il limite sarà pari agli importi effettivamente pagati per lo specifico incarico.
32.6. Le limitazioni di responsabilità sono pattuite tenendo conto della natura consulenziale dei Servizi, dei corrispettivi concordati, del controllo del Cliente sull’implementazione e dell’impossibilità di garantire sicurezza informatica assoluta.
33. Manleva
33.1. Il Cliente si impegna a manlevare e tenere indenne Blue Networks, amministratori, dipendenti, collaboratori, consulenti e subfornitori da pretese, danni, costi, sanzioni, spese e richieste di terzi derivanti da:
a. uso illecito o non autorizzato dei Servizi;
b. istruzioni del Cliente contrarie alla legge;
c. mancanza di autorizzazioni su sistemi, dati o ambienti;
d. informazioni false, incomplete o fuorvianti;
e. violazioni privacy, cybersecurity, lavoro, proprietà intellettuale, prodotto o contratti con terzi imputabili al Cliente;
f. mancata implementazione delle raccomandazioni;
g. modifica o uso improprio dei Deliverable;
h. pretese relative a prodotti, sistemi, servizi o fornitori del Cliente;
i. mancato rispetto da parte del Cliente di GDPR, NIS2, DORA, CRA o altri obblighi applicabili.
33.2. La manleva non opera per danni causati da dolo o colpa grave di Blue Networks.
34. Subfornitori
34.1. Blue Networks potrà avvalersi di dipendenti, collaboratori, consulenti, partner, subfornitori o specialisti qualificati.
34.2. Blue Networks resterà responsabile del coordinamento delle attività nei limiti del Perimetro concordato.
34.3. Qualora subfornitori trattino dati personali per conto del Cliente, il relativo trattamento sarà disciplinato dal DPA applicabile.
35. Registrazioni, Evidenze e Audit
35.1. Blue Networks potrà conservare registrazioni ragionevoli dell’attività svolta, inclusi verbali, versioni dei Deliverable, comunicazioni, log di progetto, note operative e registrazioni amministrative.
35.2. Eventuali audit richiesti dal Cliente dovranno essere ragionevoli, proporzionati, limitati ai Servizi pertinenti, soggetti a riservatezza e concordati con congruo preavviso.
35.3. Blue Networks potrà rifiutare richieste di audit che compromettano sicurezza, segreti commerciali, dati personali, diritti di terzi o informazioni di altri clienti.
35.4. L’assistenza ad audit oltre le richieste ordinarie potrà essere fatturata alle tariffe vigenti.
36. Forza Maggiore
36.1. Blue Networks non sarà responsabile per ritardi o inadempimenti dovuti a eventi fuori dal proprio ragionevole controllo, inclusi calamità, incendi, alluvioni, guerre, terrorismo, disordini, scioperi, pandemie, blackout, guasti Internet, indisponibilità di provider cloud, attacchi informatici diffusi, ordini di autorità o eventi analoghi.
36.2. La parte colpita dovrà adottare misure ragionevoli per mitigare gli effetti dell’evento.
37. Cessione
37.1. Il Cliente non potrà cedere l’Accordo, i diritti, gli obblighi o i Deliverable senza consenso scritto di Blue Networks.
37.2. Blue Networks potrà cedere o trasferire l’Accordo nell’ambito di fusioni, scissioni, riorganizzazioni, cessioni di azienda, trasferimenti di ramo o operazioni societarie equivalenti, purché il cessionario assuma gli obblighi pertinenti.
38. Modifiche dei Termini
38.1. Blue Networks potrà aggiornare i presenti Termini per esigenze normative, tecniche, organizzative, commerciali o di sicurezza.
38.2. Le modifiche si applicheranno ai nuovi Ordini, rinnovi o incarichi successivi alla pubblicazione.
38.3. Per incarichi in corso, modifiche sostanziali si applicheranno solo se accettate dal Cliente, salvo modifiche necessarie per legge, sicurezza o adeguamento a norme inderogabili.
39. Comunicazioni
39.1. Le comunicazioni operative potranno avvenire via e-mail, ticketing, piattaforme collaborative o altri canali concordati.
39.2. Comunicazioni aventi contenuto legale, incluse diffide, contestazioni, recesso, risoluzione o controversie, dovranno essere inviate tramite PEC, raccomandata A/R, corriere o altro mezzo idoneo a provarne ricezione.
39.3. Le comunicazioni a Blue Networks dovranno essere inviate ai recapiti indicati nell’Offerta o pubblicati sul sito di Blue Networks.
40. Nullità Parziale
40.1. L’invalidità, nullità o inefficacia di una clausola non comporterà invalidità, nullità o inefficacia delle restanti disposizioni.
40.2. La clausola invalida sarà sostituita, ove possibile, da una disposizione valida che realizzi nella misura massima consentita l’interesse economico e giuridico perseguito dalle parti.
41. Intero Accordo
41.1. I presenti Termini, unitamente all’Offerta, all’eventuale contratto quadro, DPA e allegati, costituiscono l’intero accordo tra le parti in relazione ai Servizi vCISO.
41.2. Ogni proposta, presentazione, brochure, comunicazione commerciale, scambio informale o dichiarazione precedente è superata, salvo espresso richiamo in documento contrattuale sottoscritto.
42. Legge Applicabile e Foro Competente
42.1. I presenti Termini sono regolati dalla legge italiana.
42.2. Fatte salve norme inderogabili sulla competenza, per ogni controversia relativa a validità, interpretazione, esecuzione, inadempimento, risoluzione o cessazione dei presenti Termini o dei Servizi vCISO sarà competente in via esclusiva il Foro di Messina.
42.3. Qualora il Cliente sia una pubblica amministrazione o un soggetto sottoposto a disciplina speciale inderogabile, troveranno applicazione le norme imperative di competenza eventualmente previste.