L'appalto misto è una struttura contrattuale che raggruppa diversi tipi di deliverable - come servizi, lavori e forniture - in un unico affidamento. È comune nei grandi progetti pubblici e aziendali in cui un unico fornitore può offrire progettazione, hardware, installazione e supporto continuativo nell'ambito di un solo accordo.
Nella cybersicurezza, l'appalto misto è importante perché gli obblighi di sicurezza possono diventare poco chiari quando la responsabilità tecnica è suddivisa tra più componenti. Un contratto può riguardare software, hosting, manutenzione e attività in loco, ma ciascuna parte può comportare rischi, controlli e obblighi di segnalazione diversi. I difensori usano un ambito chiaro, responsabili dei controlli nominati e clausole di verifica per evitare lacune nella risposta agli incidenti, nelle patch, nel controllo degli accessi o nella supervisione dei subappaltatori. Gli aggressori traggono vantaggio quando nessuno sa con certezza chi sia responsabile della sicurezza, rendendo l'appalto misto un rischio di governance oltre che un modello di approvvigionamento.