Audit ai fornitori pre-NIS2: inserirlo al rinnovo senza fermare il business

Se non puoi guardare dentro, non stai comprando un servizio: stai comprando una promessa. Molte PMI italiane hanno firmato contratti SaaS quando “cyber” voleva dire SSL e un logo ISO 27001 in homepage. Oggi la promessa non basta più. La Direttiva (UE) 2022/2555 (NIS2) alza l’asticella sulla gestione del rischio lungo la catena di fornitura, e il GDPR — all’art. 28 — già impone, per i trattamenti svolti per vostro conto, di prevedere la possibilità di audit e ispezioni. Tradotto: diritti di audit e trasparenza non sono un capriccio, ma elementi che la normativa porta a considerare come doveri contrattuali da portare al tavolo.

Questo non significa trasformare il rinnovo in una guerra di trincea. Significa scrivere clausole chiare, praticabili e proporzionate al rischio, con tempi e costi gestibili anche per un fornitore di medie dimensioni. Qui c’è un percorso pragmatico: cosa chiedere, come chiederlo, quali compromessi accettare senza perdere controllo, e quando cambiare rotta.

1. Perché l’audit adesso

La NIS2 rende esplicito che la sicurezza non si ferma alla porta del fornitore: la gestione del rischio comprende catena di fornitura, dipendenze software e servizi esterni. Non serve essere formalmente “soggetti NIS2” per farne tesoro: se un servizio critico si ferma o perde dati, il danno è vostro. Se volete capire cosa la NIS2 significhi davvero per chi non ha un CISO né un budget illimitato, partite proprio dalle clausole che mancano nei contratti. In parallelo, il GDPR è già chiaro su un punto: chi tratta dati per vostro conto deve poter dimostrare la conformità e consentire verifiche. Molti contratti storici lo ignorano o lo limitano a un generico “vi daremo un certificato quando disponibile”.

La buona notizia: non serve un reparto legale di venti persone per mettere ordine. Un addendum di 2-4 pagine, allegato al rinnovo, può definire un “security schedule” con diritti di audit graduati, tempi di notifica incidenti e garanzie di uscita. È una trattativa, non un editto: si chiede trasparenza in cambio di prevedibilità e oneri ragionevoli per il fornitore.

2. Che cosa vuol dire davvero “diritto di audit”

“Audit” non significa per forza arruolare un esercito di revisori. È un ventaglio di strumenti, dal più leggero al più intenso, da applicare secondo il rischio del servizio e l’impatto sul vostro business.

• Diritto all’informazione: report, policy, diagrammi architetturali, elenco dei subfornitori, sede dei dati. È il livello base, e in genere dovrebbe essere sempre disponibile.
• Audit documentale a distanza: evidenze sui controlli chiave (gestione vulnerabilità, backup e restore testati, gestione accessi), sintesi di test di sicurezza indipendenti, certificazioni (ISO 27001 o equivalenti) e attestazioni SOC/ISAE quando esistono.
• Audit remoto guidato o sul campo: sessione con una persona tecnica del fornitore per approfondire punti specifici, campionamento di log e procedure, verifica dei processi di change e incident response.
• Audit straordinario: in caso di incidenti gravi o violazioni ripetute, ispezione più profonda con preavviso breve. È l’eccezione, ma è bene che sia prevista.

Scrivere gradi e condizioni aiuta a evitare conflitti. Il fornitore sa cosa preparare, voi sapete cosa vedrete. Costi e frequenze si possono limitare: ad esempio una volta l’anno per l’audit di routine, con preavviso di 15-30 giorni, e audit straordinario solo a seguito di un evento materiale.

3. Inserirlo nei contratti esistenti: tre mosse

Non serve rifare tutto il contratto. Serve un addendum snello e qualche disciplina operativa. Il percorso che funziona spesso nelle PMI è semplice.

Primo: mappare i contratti per criticità. Segnate quali servizi toccano dati personali e processi core (ordini, fatturazione, produzione, assistenza), e che impatto hanno su ricavi e obblighi regolatori. A questi conviene applicare per prime le nuove clausole.

Secondo: proporre un “Security & Continuity Schedule” standard di 2-4 pagine. Includete: diritto all’informazione e audit graduato; tempi di notifica incidenti; requisiti minimi di backup e test di ripristino; uscita e consegna dati; impegni sul perimetro dei subfornitori e sulla localizzazione. Evitate i romanzi: la chiarezza batte la prolissità.

Terzo: gestire il rinnovo come uno scambio. Preparate il testo un mese prima della scadenza commerciale. Offrite flessibilità sui tempi (entrata in vigore progressiva di alcuni punti nei 60-90 giorni successivi) e, dove possibile, valutate l’accettazione di attestazioni indipendenti al posto di audit invasivi, purché puntuali e complete. L’obiettivo non è stanare il fornitore: è mettervi nelle condizioni di valutare e reagire.

Le indicazioni ENISA sulla supply chain insistono su due concetti utili in trattativa: visibilità dei controlli lungo i fornitori e obblighi “a cascata” verso i subfornitori critici. Portateli nel testo contrattuale come impegni verificabili, non come slogan.

4. Le evidenze minime da chiedere a un SaaS

C’è un set di prove che un fornitore maturo di solito sa già fornire, spesso tramite un trust portal. Chiedete questo, e partite da qui per ogni audit documentale annuale.

• Architettura e data flow: dove risiedono i dati, come si muovono, quali subfornitori sono coinvolti e per cosa.
• Elenco aggiornato dei subfornitori con giurisdizione e ruolo; impegno alla notifica e diritto di obiezione ragionevole prima dell’introduzione di nuovi subfornitori.
• Gestione vulnerabilità e patch, con finestre tipiche di remediation per le criticità alte; report sintetico (senza dati personali) di scansioni e test di sicurezza indipendenti.
• Certificazioni o attestazioni disponibili (ISO 27001 o equivalenti; report SOC/ISAE se esistenti) con “bridge letter” aggiornata tra i periodi di validità.
• Controllo accessi: chi può vedere o modificare i dati dei clienti, MFA obbligatoria, segregazione degli ambienti.
• Backup: RPO e RTO dichiarati, data e risultato dell’ultimo test di ripristino riuscito, architettura di backup (immutabilità, separazione logica o fisica). Ricordate che il backup dei SaaS non esiste finché non lo fate voi: cestino e versioning spesso non bastano contro ransomware e disservizi del fornitore.
• Business continuity e disaster recovery: data dell’ultimo esercizio, scenario testato, tempi misurati. Se non fanno esercizi, chiedete di fissarne uno entro 90 giorni.
• Notifica incidenti: impegno a informare entro un tempo definito dall’individuazione di un incidente che impatti sui vostri dati o servizi, con canale dedicato e contenuti minimi del primo report.
• Data protection: DPA conforme, trasferimenti extra UE gestiti tramite Clausole Contrattuali Standard (SCC) o meccanismo di adeguatezza; contatti del DPO ove previsto.
• Uscita e portabilità: formato dei dati, API di export, limiti di rate, tempi di disponibilità post-cessazione, costi noti per l’estrazione completa.

Non è un quiz a trabocchetto. È la base per misurare la distanza tra promessa e realtà. Se mancano due o tre punti, si può fissare un piano di rientro con scadenze; se manca tutto, è difficile parlare di “maturità di servizio” e cresce il rischio operativo.

5. Uscita e continuità: il pacchetto che spegne il lock-in

Un audit senza uscita è solo teoria. Se non potete portar via i vostri dati e ricostruire l’operatività altrove, state scommettendo sull’eternità del fornitore. La pratica da inserire in ogni schedule è un “exit pack” obbligatorio, con tempi e formati scritti. Vale la pena scrivere il piano d’uscita prima ancora di entrare: la vera domanda non è solo quale provider scegliere, ma quanto costa e quanto tempo serve per cambiare rotta.

• Dati: export completo in formato aperto e documentato (CSV, Parquet o JSON dove ha senso), più dizionario dati e mapping dei campi. Disponibile su richiesta e alla cessazione, per almeno 30 giorni.
• Configurazioni: export di ruoli, workflow, regole e template, con istruzioni per l’import in ambienti omologhi o neutri; se non c’è import, consegna di script o API reference versionata.
• Evidenze di ripristino: un runbook per ricreare un ambiente minimale con i vostri dati; RTO e RPO dichiarati dal fornitore e data dell’ultimo test di DR.

La combinazione di questi tre elementi tende a essere più utile di qualunque slide sul “cloud sovrano”: non spegne la portabilità, la abilita. E rende i colloqui con nuovi fornitori comparabili sui fatti, non sui loghi.

6. Subfornitori, giurisdizioni e flussi

Una PMI non può verificare ogni riga di codice del suo fornitore, ma può fissare paletti misurabili. Due sono cruciali.

Il perimetro dei subfornitori. Includete l’obbligo di pubblicare e mantenere aggiornato l’elenco dei processor e sub-processor che trattano i vostri dati, con ruoli e paesi. Prevedete un preavviso minimo prima di aggiunte o cambiamenti significativi e un diritto di obiezione ragionevole quando l’impatto è alto. È la traduzione contrattuale del rischio di terze parti su cui la NIS2 insiste.

La localizzazione dei dati e i trasferimenti. Non servono proclami: servono impegni chiari sul luogo di conservazione e trattamento principale, e sulla base giuridica dei trasferimenti extra UE quando necessari (SCC o meccanismi di adeguatezza). Attenzione però a non fermarsi alle etichette: cosa significhi davvero “cloud sovrano” non sempre coincide con quanto vi ha raccontato il commerciale, visto che un datacenter in Germania può comunque essere soggetto, a determinate condizioni, a normative extra-UE come il CLOUD Act. In molte realtà servizi europei di pari livello possono ridurre il rischio legale e operativo.

7. E se il vendor dice “no audit”? Tre strategie realistiche

Capita. Alcuni fornitori globali negano audit individuali e offrono solo pacchetti standard di attestazioni. Si può lavorare comunque, ma con condizioni.

Primo: alzare la qualità e la freschezza delle attestazioni. Chiedete report continuativi (tipo II) anziché puntuali (tipo I), “bridge letter” tra i periodi, executive summary dei penetration test firmati da terze parti, e un trust portal con evidenze aggiornate. Se serve, valutate un audit solo documentale in cambio di attestazioni più solide.

Secondo: ridurre la superficie del rischio. Separate i dati personali (pseudonimizzazione, tokenizzazione), abilitate la cifratura lato client dove possibile, replicate periodicamente i dati operativi in un data warehouse europeo sotto il vostro controllo. Se il servizio si ferma, potete almeno leggere gli ultimi dati e servire i clienti in modalità degradata.

Terzo: disegnare l’uscita fin dall’ingresso. Stabilite formati e tempi di export, testate una volta l’anno la ricostruzione minima, e quantificate quanto costa migrare. Un piano di contingenza costruito con un system integrator italiano vicino alla vostra operatività può togliervi dal ricatto del momento peggiore: la rottura improvvisa di fiducia.

8. Clausole che aiutano davvero

Le clausole funzionano quando sono comprensibili a chi poi le deve eseguire. Ecco formule operative che molti fornitori ragionevoli accettano e che potete verificare; portatele al tavolo con legale e acquisti per capire se sono negoziabili nel vostro contratto.

• Audit: “Il Fornitore mette a disposizione, con frequenza almeno annuale, la documentazione elencata nell’Allegato A. Il Cliente può richiedere un audit documentale remoto con preavviso di 15 giorni. In caso di incidente con impatto materiale sui dati o sui servizi, il Cliente può richiedere un audit straordinario. Le parti concordano tempi e modalità in buona fede; eventuali costi ragionevoli sono a carico del Cliente.”
• Notifica incidenti: “Il Fornitore notifica al Cliente entro 24 ore dall’individuazione preliminare ogni incidente che abbia impatto sui dati del Cliente o sulla disponibilità del Servizio, indicando natura, impatto stimato, misure adottate e punto di contatto.”
• Backup e DR: “Il Fornitore mantiene un RPO massimo di X ore e un RTO massimo di Y ore per i componenti indicati nell’Allegato B e documenta almeno un test di ripristino all’anno, con esiti disponibili al Cliente.”
• Uscita: “Alla cessazione, il Fornitore rende disponibili per almeno 30 giorni il dump completo dei dati del Cliente in formato aperto indicato nell’Allegato C e l’export delle configurazioni. Eventuali costi sono predeterminati nell’Allegato C. L’accesso amministrativo del Cliente è mantenuto fino al completamento dell’export.”

Queste frasi valgono più di dieci paragrafi di principi generali. Dicono cosa, quando e come: verificabile, quindi negoziabile.

9. Quanto spingere: proporzionalità e calendario

Non tutte le applicazioni meritano lo stesso sforzo. Una regola utile: applicate l’audit annuale completo ai servizi che toccano ricavi, finanza, supply chain, assistenza clienti e dati personali sensibili. Per gli altri, un audit biennale con attestazioni aggiornate può spesso bastare. Se tra i fornitori avete integrato strumenti di AI, ricordate che con l’AI Act in vigore dal 2 agosto 2026 anche un semplice chatbot può, a seconda dell’uso, rientrare in obblighi di trasparenza e documentazione: tenetene conto nel mappare le criticità.

Sul calendario, il trucco è semplice: non arrivate al rinnovo con una sola opzione. Portate una versione “piena” del vostro schedule e una “light” con più spazio alle attestazioni standard, ma idealmente identiche su tre punti che conviene tenere fermi: tempi di notifica incidenti, pacchetto di uscita, ultima data di test di ripristino. Sono le tre leve che proteggono il business quando qualcosa va storto di sabato notte.

10. L’audit non è un lusso, è una polizza anti-lock-in

Il mercato vi offrirà sempre scorciatoie: “fidatevi, abbiamo la ISO”, “fidatevi, siamo grandi”. La verità è meno comoda: lock-in, deroghe e dipendenze infrastrutturali raramente sono incidenti, spesso sono il prodotto. L’audit — quello scritto e praticabile — aiuta a rompere lo schema. Mette fatti al posto delle slide, costi al posto degli slogan, e soprattutto apre una porta di uscita.

Non serve ideologia, servono contratti che parlano il linguaggio della produzione: tempi, evidenze, dati. Le PMI italiane sanno lavorare con i vincoli; quello che non possono permettersi è scoprire, alla mezzanotte di un sabato, di non avere il diritto di guardare dentro. Con la NIS2 e con il GDPR questo diritto, nei limiti e nei modi previsti, è in genere esigibile. Sta a voi usarlo bene: con misura, ma fino in fondo.