Che cosa accade alla valutazione di un fornitore quando cambia il servizio che l’organizzazione utilizza? La domanda conta più dell’esito positivo ottenuto all’inizio del rapporto. Una qualifica può essere completa e documentata al momento dell’affidamento, ma perdere capacità probatoria se prestazioni, accessi o modalità di erogazione cambiano senza riaprire la valutazione.
Per qualifica del fornitore si intende la valutazione documentata che precede l’affidamento. Il monitoraggio del fornitore è invece la verifica periodica delle prestazioni e dei cambiamenti intervenuti dopo quella decisione. Confondere i due momenti produce un paradosso: la procedura che riduce il lavoro durante l’acquisto può aumentare il costo di governo negli anni successivi, perché lascia all’organizzazione il compito di ricostruire a posteriori quando e come il rapporto sia cambiato.
Il limite del controllo eseguito una sola volta
La Direttiva (UE) 2022/2555, nota come NIS2, colloca fornitori di servizi gestiti, fornitori cloud, vendor software e altri terzi pertinenti entro una superficie di rischio che non coincide con il solo perimetro interno dell’organizzazione. In Italia il D.Lgs. 138/2024 recepisce questo quadro e distingue tra soggetti essenziali e soggetti importanti, categorie normative definite in relazione al settore, alla criticità e alle dimensioni dell’organizzazione.
Gli obblighi non riguardano indistintamente ogni impresa manifatturiera e ogni suo fornitore. Riguardano i soggetti compresi nel perimetro del decreto e i rapporti pertinenti alla loro gestione del rischio. Entro questi confini, però, la fotografia iniziale non è sufficiente a descrivere un servizio che continua a evolvere.
La valutazione preliminare, indicata nella letteratura specialistica anche come Vendor Risk Assessment, serve a motivare la selezione attraverso criteri oggettivi e documentati. Può esaminare il servizio proposto, le pratiche di cibersicurezza, la qualità del prodotto e le procedure di sviluppo sicuro. Il suo valore dipende tuttavia da una condizione spesso trascurata: l’oggetto valutato deve restare riconoscibile nel tempo.
Quando il documento resta fermo e il rapporto cambia
Il fallimento della qualifica una tantum non consiste necessariamente in un errore iniziale. Può nascere da una valutazione corretta che continua a essere usata dopo che ne sono cambiate le premesse. Il servizio viene modificato, mentre il fascicolo del fornitore conserva descrizioni, responsabilità e condizioni riferite alla versione precedente.
Si consideri una fornitura industriale che, al momento dell’affidamento, non preveda accessi remoti. Se in seguito viene introdotta la manutenzione a distanza, non è cambiato soltanto un dettaglio operativo: sono comparsi nuovi canali di accesso, soggetti autorizzati e modalità di intervento. La vecchia qualifica può attestare che il fornitore era stato esaminato, ma non prova che il nuovo assetto sia stato valutato.
Lo stesso meccanismo si presenta quando un’applicazione locale viene affiancata da un servizio cloud, quando cambia il soggetto che gestisce una componente software oppure quando una nuova versione modifica le modalità con cui sono distribuiti gli aggiornamenti. Non ogni modifica produce lo stesso rischio. Il problema è l’assenza di una regola che distingua gli aggiornamenti formali dai cambiamenti capaci di alterare l’esposizione dell’organizzazione.
Un aggiornamento anagrafico o la sostituzione di un referente commerciale possono richiedere la correzione dei documenti senza una nuova analisi sostanziale. L’introduzione di un accesso privilegiato, una diversa modalità di trattamento dei dati, il ricorso a un ulteriore fornitore di servizi o la modifica di una funzione critica incidono invece sulle condizioni che avevano sostenuto la decisione originaria. Se la procedura non stabilisce quali eventi riaprono la valutazione, la continuità amministrativa viene scambiata per continuità del rischio.
Il test di accettazione del cambiamento
Per test di accettazione si intende qui il criterio con cui l’organizzazione decide se una modifica possa essere assorbita dalla qualifica esistente oppure richieda una nuova valutazione documentata. Non è il nome di uno specifico adempimento tecnico imposto agli analizzatori industriali. È il passaggio logico che collega un cambiamento osservabile a una decisione motivata.
Il test deve rispondere almeno a una questione concreta: le evidenze disponibili dimostrano ancora che il rischio è gestito nelle nuove condizioni? Una semplice comunicazione del fornitore può documentare che il servizio è cambiato, ma non dimostra da sola che siano stati esaminati gli effetti del cambiamento. Per farlo possono servire, secondo il caso, una descrizione aggiornata del servizio, l’individuazione dei nuovi accessi e delle responsabilità, la verifica delle pratiche di cibersicurezza coinvolte e una decisione formale di accettazione o mitigazione del rischio.
Il punto non è accumulare documenti. È mantenere il collegamento tra tre elementi: la versione effettiva del servizio, il rischio valutato e la decisione dell’organizzazione. Se uno dei tre resta riferito al passato, la qualifica continua a esistere come atto amministrativo ma non descrive più il rapporto corrente.
Anche il monitoraggio regolare ha senso soltanto se può produrre conseguenze. Registrare variazioni nelle prestazioni o nelle modalità di erogazione senza stabilire quando debba ripartire l’analisi crea un archivio, non un controllo. All’estremo opposto, ripetere l’intera qualifica per ogni modifica minore consuma risorse senza aumentare in misura proporzionata la capacità di governo. La scelta sostenibile consiste nel definire in anticipo le condizioni di riapertura e le evidenze necessarie per chiuderla.
La responsabilità resta al soggetto regolato
L’articolo 24 del D.Lgs. 138/2024 richiede misure tecniche, operative e organizzative adeguate e proporzionate, includendo la sicurezza della catena di approvvigionamento e i rapporti con i fornitori diretti e con i fornitori di servizi. Il fornitore diretto è il soggetto con cui l’organizzazione intrattiene direttamente il rapporto contrattuale; il fornitore di servizi eroga invece un servizio utilizzato dall’organizzazione, anche in forma digitale o gestita da remoto. Le categorie possono sovrapporsi, ma non sono sinonimi.
Il medesimo articolo considera anche la qualità dei prodotti, le pratiche di cibersicurezza e le procedure di sviluppo sicuro del fornitore. Questo non trasferisce al fornitore la responsabilità normativa propria del soggetto regolato. Richiede piuttosto a quest’ultimo di valutare il rapporto in modo proporzionato alla sua rilevanza.
L’articolo 23 collega tale gestione alla governance: gli organi di amministrazione e direzione approvano le misure, ne sovrintendono l’attuazione e rispondono degli inadempimenti previsti dal decreto. Una procedura che non specifica quando la qualifica debba essere riaperta lascia quindi irrisolta una decisione di governo, non soltanto un’attività dell’ufficio acquisti.
La tecnologia identifica la fornitura, non decide l’obbligo
Il ragionamento vale anche quando il rapporto riguarda apparecchiature per il controllo di processi industriali. Un produttore di analizzatori può essere un fornitore diretto; eventuali attività software, assistenza o gestione remota possono aggiungere componenti di servizio da considerare separatamente. La classificazione dipende dal rapporto concreto e dal perimetro del soggetto regolato, non dal solo nome della tecnologia acquistata.
Per identificare una possibile categoria di fornitura senza trasformarla in una categoria normativa, nella pagina www.nirainstruments.com/ sono descritti sistemi di monitoraggio LEL a infrarossi insieme ad altri analizzatori industriali. La presenza di questi prodotti non dimostra conformità alla NIS2 e non rende automaticamente applicabile il D.Lgs. 138/2024: serve a collocare il fornitore tecnico entro l’effettiva catena di approvvigionamento dell’organizzazione.
Se il cambiamento del servizio non produce una nuova evidenza valutabile, la qualifica precedente dimostra soltanto che un rapporto diverso era stato esaminato in passato. Il controllo diventa effettivo quando la modifica ha un punto formale di riapertura e una decisione documentata sulle nuove condizioni.