Nel diritto privato l'art. 1656 del codice civile stabilisce che l'appaltatore non può dare in subappalto l'esecuzione dell'opera o del servizio se non è stato autorizzato dal committente. È una leva spesso trascurata: il committente che non vuole catene incontrollate può semplicemente negare l'autorizzazione o subordinarla a condizioni precise, come la presentazione preventiva dei documenti di idoneità del subappaltatore, il numero massimo di livelli ammessi e l'obbligo di presenza di un preposto per ciascuna impresa.
Negli appalti pubblici il nuovo Codice dei contratti, D.Lgs. 36/2023, disciplina il subappalto all'art. 119, superando i limiti percentuali fissi del passato e ammettendo anche il subappalto a cascata, ma lasciando alla stazione appaltante la possibilità di escluderlo o limitarlo per esigenze legate, tra l'altro, alla tutela delle condizioni di lavoro e della salute e sicurezza dei lavoratori. Questo collegamento esplicito tra catena di affidamento e sicurezza conferma una consapevolezza ormai diffusa.
Per il RSPP di un'azienda privata la regola pratica è inserire nelle condizioni generali di contratto una clausola che vieti il subappalto non autorizzato, preveda la comunicazione dei nominativi dei subappaltatori almeno alcuni giorni prima dell'ingresso e attribuisca al committente il diritto di allontanare dal sito le imprese non dichiarate. Senza questa base contrattuale, il controllo degli accessi diventa una trattativa quotidiana con l'appaltatore principale.