Checklist: valutare un fornitore ICT critico secondo NIS2 art. 21, DORA artt. 28-30 e GDPR art. 28

Riferimenti normativi

DORA si applica alle entità finanziarie. Le sue clausole contrattuali sono comunque un riferimento utile per qualsiasi organizzazione che valuti un fornitore critico.

1. Governance e organizzazione della sicurezza

• Esiste un responsabile della sicurezza delle informazioni con un mandato definito?
• Le politiche di sicurezza sono approvate e riesaminate con una periodicità dichiarata?
• Il personale con accesso ai dati del cliente riceve formazione sulla sicurezza e ha obblighi di riservatezza?
• Il fornitore valuta a sua volta i propri fornitori critici?

2. Certificazioni e attestazioni

• Certificato ISO/IEC 27001: ente di certificazione, accreditamento, scadenza. Il perimetro del certificato comprende il servizio acquistato?
• Dichiarazione di applicabilità disponibile su richiesta, almeno per i controlli pertinenti al servizio?
• Report SOC 2: Type 1 o Type 2, periodo coperto, criteri inclusi, eccezioni rilevate dal revisore.
• Controlli complementari a carico del cliente indicati nel report e organizzazioni subfornitrici escluse dal perimetro.
• Se il periodo coperto è concluso da tempo, è disponibile una bridge letter?

3. Accessi e identità

• Chi presso il fornitore può accedere ai dati o ai sistemi del cliente, e con quale processo di autorizzazione?
• MFA obbligatoria per gli accessi amministrativi e remoti?
• Revisione periodica degli accessi privilegiati e revoca tempestiva all'uscita del personale?
• Gli accessi amministrativi sono registrati nei log e i log sono conservati per un periodo definito?
• Il servizio supporta il single sign-on e la gestione degli utenti da parte del cliente?

4. Localizzazione dei dati e subfornitori

• In quali paesi o regioni sono trattati e conservati i dati, compresi backup e supporto?
• Elenco dei subfornitori che trattano dati del cliente, con ruolo e localizzazione.
• Come e con quale preavviso il fornitore comunica cambiamenti di localizzazione o di subfornitori?
• Per trasferimenti fuori dallo Spazio economico europeo, quale meccanismo del GDPR è utilizzato?
• Cifratura a riposo e in transito; chi gestisce le chiavi?

5. Notifica degli incidenti al cliente

• Entro quale termine il fornitore notifica al cliente un incidente che lo riguarda? Il termine è compatibile con le 24 ore della NIS2 e con i tempi DORA e GDPR del cliente?
• Quali informazioni contiene la prima comunicazione e chi è il contatto?
• Il fornitore notifica le violazioni di dati personali senza ingiustificato ritardo, come richiesto al responsabile del trattamento dall'art. 33(2) del GDPR?
• Il fornitore collabora all'analisi e fornisce la relazione sulla causa di fondo?

6. Continuità operativa e backup

• Esistono piani di continuità e di disaster recovery per il servizio, testati, con data dell'ultimo test?
• Obiettivi di ripristino (tempo e perdita di dati massima) dichiarati per il servizio?
• Frequenza, conservazione, separazione e test di ripristino dei backup.
• Livelli di servizio con disponibilità misurata e report periodici.

7. Gestione delle vulnerabilità

• Tempi di correzione delle vulnerabilità per livello di gravità.
• Penetration test indipendenti: frequenza e disponibilità di una sintesi degli esiti.
• Procedure di sviluppo sicuro e verifica delle dipendenze di terze parti (art. 21(3) NIS2).
• Esiste una politica di divulgazione delle vulnerabilità con un canale di segnalazione?

8. Uscita e risoluzione del contratto

• Restituzione dei dati in un formato facilmente accessibile e loro cancellazione certificata a fine contratto.
• Assistenza alla transizione verso un altro fornitore o all'internalizzazione, con un periodo di transizione definito.
• Diritti di risoluzione e preavvisi minimi.
• Esiste una strategia di uscita documentata dal cliente, alternativa praticabile inclusa?

DORA art. 30: clausole da verificare nel contratto

Per tutti i contratti di servizi ICT l'art. 30(2) richiede tra l'altro:

• descrizione chiara e completa delle funzioni e dei servizi, con le condizioni per l'eventuale subappalto;
• luoghi in cui i servizi sono prestati e i dati trattati e conservati, con obbligo di preavviso in caso di modifica;
• disposizioni su disponibilità, autenticità, integrità e riservatezza dei dati;
• accesso, recupero e restituzione dei dati in caso di insolvenza, risoluzione o cessazione dell'attività del fornitore o di risoluzione del contratto;
• descrizione dei livelli di servizio;
• assistenza in caso di incidente ICT relativo al servizio, senza costi aggiuntivi o a un costo stabilito ex ante;
• piena cooperazione con le autorità competenti e di risoluzione;
• diritti di risoluzione e preavvisi minimi;
• condizioni di partecipazione ai programmi di sensibilizzazione e formazione sulla resilienza operativa digitale dell'entità.

DORA art. 30(3): in più per le funzioni essenziali o importanti

• Livelli di servizio con obiettivi di prestazione quantitativi e qualitativi precisi.
• Preavvisi e obblighi di segnalazione del fornitore su sviluppi che possono incidere sul servizio.
• Obbligo di attuare e testare piani di emergenza e di disporre di misure di sicurezza ICT adeguate.
• Partecipazione e cooperazione ai test di penetrazione basati su minacce (TLPT) dell'entità.
• Diritti illimitati di accesso, ispezione e audit.
• Strategie di uscita con un periodo di transizione adeguato.

GDPR art. 28: contenuto minimo del contratto con il responsabile

• Trattamento solo su istruzione documentata del titolare, anche per i trasferimenti.
• Obbligo di riservatezza per le persone autorizzate al trattamento.
• Misure di sicurezza secondo l'art. 32.
• Ricorso a sub-responsabili solo con autorizzazione scritta, specifica o generale, e con gli stessi obblighi.
• Assistenza al titolare per i diritti degli interessati e per gli obblighi degli artt. 32-36.
• Cancellazione o restituzione dei dati al termine del servizio.
• Messa a disposizione delle informazioni necessarie a dimostrare il rispetto degli obblighi e consenso ad audit e ispezioni.

Come usare le risposte

• La profondità della valutazione segue la criticità del fornitore: non tutti i fornitori richiedono tutte le domande.
• Una risposta senza evidenza (certificato, report, estratto contrattuale) va registrata come dichiarazione, non come verifica.
• Le risposte negative diventano rischi con un responsabile: clausola da negoziare, misura compensativa o accettazione motivata.
• La valutazione va ripetuta alla scadenza delle certificazioni, al rinnovo del contratto e dopo un incidente o un cambiamento rilevante del servizio.

In EVIDEVO

In Gestione dei fornitori contratti, funzioni supportate, valutazioni e clausole sono collegati ai dati del registro delle informazioni previsto dall'art. 28 del DORA. Certificazioni e report ricevuti sono registrati come evidenze con data di validità; le risposte negative si collegano ai rischi in Gestione dei rischi.