Un fornitore restituisce il questionario di sicurezza. Le caselle sono compilate, il documento è firmato, la cartella è completa. In questo esempio ipotetico manca ancora l’informazione decisiva: quale scelta ha consentito di prendere?
La Commissione europea include i rischi delle relazioni con fornitori nella gestione della sicurezza prevista dalla NIS2. Da questo non discende che qualsiasi questionario costituisca una verifica sufficiente, né che ogni destinatario diventi automaticamente soggetto alla direttiva. L’applicabilità richiede una valutazione distinta. FAQ della Commissione.
La guida tecnica ENISA del giugno 2025 tratta selezione, contratti e monitoraggio dei fornitori. Va letta nel suo ambito: supporta l’attuazione del regolamento di esecuzione 2024/2690 per determinate categorie di soggetti, non introduce un modello universale per tutte le imprese. Guida ENISA.
La proposta operativa è collegare ogni domanda importante a una decisione possibile. Se chiediamo come vengono gestiti gli accessi, quale risposta richiederebbe un approfondimento? Quale informazione mancante impedirebbe di concludere la valutazione? Chi può accettare una limitazione, e con quale motivazione?
Un questionario uguale per tutti può offrire un punto di partenza. Non dovrebbe però cancellare le differenze fra servizi. Un fornitore che interviene sui sistemi e uno che consegna materiale d’ufficio non presentano necessariamente la stessa relazione con il rischio informatico dell’organizzazione.
Anche il risultato dovrebbe essere leggibile. Propongo di registrare servizio esaminato, riscontri disponibili, limiti delle informazioni, decisione, responsabile e condizioni per un riesame. È una proposta organizzativa, non un elenco normativo esaustivo.
Una risposta positiva del fornitore resta una dichiarazione da valutare nel suo contesto. Una risposta incompleta, invece, non dimostra da sola un incidente: indica una questione da chiarire.
Il documento utile non è quello che permette soltanto di dire “abbiamo chiesto”. È quello che rende comprensibile che cosa abbiamo deciso, sulla base di quali elementi e con quali attività ancora aperte.