Supply chain: 10 domande da fare ai fornitori tecnici

Un fornitore può avere accesso ai sistemi, custodire dati o gestire un servizio senza il quale l'azienda si ferma. Il contratto descrive il rapporto commerciale, ma non sempre risponde alle domande che diventano urgenti durante un incidente.

La valutazione deve essere proporzionata: chi gestisce il gestionale critico non ha lo stesso profilo di chi fornisce un servizio marginale. Parti da dati trattati, accessi, dipendenze e impatto dell'indisponibilità.

La direttiva NIS2, articolo 21 include la sicurezza dei rapporti con fornitori e prestatori diretti tra le aree di gestione del rischio. Le domande qui sotto sono un supporto operativo, non una checklist che certifica conformità o sostituisce la valutazione contrattuale e normativa.

1. Quale servizio gestite esattamente?

Chiedi perimetro, esclusioni e responsabilità di entrambe le parti. “Gestione completa” può lasciare fuori applicazione, identità o backup: scoprirlo durante il fermo è troppo tardi.

2. Chi può accedere ai nostri sistemi?

Verifica account nominativi, approvazione degli accessi, privilegi e revoca. Chiedi come vengono gestiti accessi di emergenza e tracciabilità, senza pretendere informazioni personali non necessarie.

3. Come ci avvisate di un incidente?

Servono contatto operativo, canale alternativo, contenuti minimi e modalità di aggiornamento. Tempi e obblighi devono essere concordati con i referenti competenti, non dedotti da una frase commerciale sul supporto.

4. Cosa viene salvato, dove e da chi?

Chiedi perimetro dei backup, retention, separazione dagli ambienti operativi e responsabilità del recupero. La presenza di copie non equivale a un servizio di disaster recovery.

5. Avete provato il recupero del nostro tipo di servizio?

Richiedi una sintesi della prova pertinente, con data, perimetro e limiti. Una dimostrazione generica non garantisce che le dipendenze specifiche della tua azienda siano coperte.

6. Come gestite vulnerabilità e aggiornamenti?

Chiedi processo di valutazione, priorità, mitigazioni temporanee e verifica della correzione. Distingui patch del sistema, aggiornamenti applicativi e attività che richiedono una vostra approvazione.

7. Quali subfornitori sono indispensabili?

Non serve conoscere ogni acquisto del fornitore. Serve capire quali soggetti trattano dati o sostengono il servizio critico, come vengono valutati e come vengono comunicate modifiche rilevanti.

8. Quali evidenze possiamo ricevere?

Concorda report, log pertinenti o sintesi delle verifiche, nel rispetto della riservatezza e della sicurezza. Una certificazione può essere un elemento utile, ma bisogna controllarne perimetro e pertinenza; non sostituisce ogni domanda operativa.

9. Come funziona la fine del rapporto?

Verifica formato e tempi di esportazione, restituzione o cancellazione dei dati, revoca degli accessi e supporto alla transizione. L'uscita va progettata quando il rapporto funziona, non dopo una controversia.

10. Come verifichiamo gli impegni nel tempo?

Definisci riesame, referente e gestione delle non conformità. Un questionario compilato una sola volta perde valore dopo cambiamenti di piattaforma, accessi o subfornitori.

Trasforma le risposte in azioni

Registra per ogni domanda risposta, evidenza, gap, owner e data di riesame. “Non applicabile” deve avere una motivazione. “Non disponibile” deve rimanere un limite visibile, non diventare automaticamente un esito positivo.

Non inviare lo stesso questionario enorme a tutti. Per un servizio poco critico può bastare una verifica breve; per un fornitore con accessi privilegiati può servire un approfondimento tecnico e contrattuale. Gli impegni vanno tradotti in responsabilità pratiche e validati con chi gestisce acquisti, sicurezza e aspetti legali.

Vuoi capire da quali rapporti di fornitura partire? Il check NIS2 semplificato può aiutare a far emergere le prime domande, senza sostituire l'analisi del tuo perimetro normativo.