La negoziazione delle clausole di responsabilità per un eventuale data breach è uno degli aspetti più tecnicamente delicati in un contratto con un fornitore tecnologico che tratta dati aziendali sensibili, siano essi dati personali di clienti o informazioni riservate dell'impresa stessa.
Una clausola ben strutturata definisce con precisione gli obblighi di notifica del fornitore in caso di incidente — entro quante ore deve informare il cliente, con quale livello di dettaglio — coerentemente con i termini più stringenti richiesti dal cliente stesso verso le proprie autorità di vigilanza secondo NIS2, DORA o il GDPR.
Un secondo elemento cruciale riguarda i limiti di responsabilità economica del fornitore in caso di incidente: molti contratti standard prevedono tetti di responsabilità particolarmente contenuti, spesso limitati al corrispettivo annuo pagato dal cliente, un importo che può risultare del tutto sproporzionato rispetto al danno reale derivante da una violazione grave dei dati.
Per i clienti con esigenze di sicurezza elevate, negoziare un innalzamento specifico di questi tetti di responsabilità per gli incidenti di sicurezza — distinguendoli dai limiti generali applicabili ad altre tipologie di inadempimento contrattuale — è spesso possibile, specie quando il potere negoziale del cliente lo consente, ma richiede una negoziazione esplicita fin dalla fase di definizione del contratto, non un tentativo successivo all'incidente ormai verificatosi.