Cosa chiedere a un fornitore prima di firmare: la guida NIST in cinque voci

Il momento in cui si decide quasi tutto

C'è un momento, nella vita di qualsiasi rischio informatico legato a un fornitore, in cui il costo di intervenire è basso e la capacità di intervenire è massima: prima della firma.

Dopo, tutto diventa più difficile. Il sistema è installato, i dati ci sono dentro, il personale ci lavora, il contratto ha una durata. Le domande che si potevano fare come condizione diventano richieste da negoziare. E la risposta più frequente, in quella fase, è che si vedrà al rinnovo.

Il NIST ha pubblicato a luglio 2026 un documento breve che serve esattamente a quel momento: la Special Publication 1326, Cybersecurity Supply Chain Risk Management: Due Diligence Assessment Quick-Start Guide.

Che cosa intende NIST per due diligence

La definizione nel documento è asciutta: la ricerca di due diligence è «the investigative process of researching all available, pertinent information about a given supplier or product so that informed decisions can be made on new acquisitions or existing systems».

Due elementi di quella frase meritano attenzione.

Il primo è «all available» — informazione disponibile. Non si tratta di ottenere accesso ai segreti industriali del fornitore: si tratta di raccogliere e leggere ciò che è già raccoglibile, che è molto più di quanto la maggior parte delle organizzazioni faccia.

Il secondo è «or existing systems». La due diligence non serve solo a scegliere: serve anche a rivalutare quello che si ha già. È il pezzo che salta quasi sempre, perché non ha un momento naturale in cui scattare.

Il documento si colloca esplicitamente dentro l'impianto della SP 800-161 revisione 1, la pubblicazione madre del NIST sul rischio della catena di fornitura, ed è circoscritto ai fornitori ICT — tecnologie dell'informazione e della comunicazione — anche se l'impianto, come dice il documento stesso, «can be applied to any type of supplier».

Le cinque componenti

Il contributo pratico della guida sta tutto qui. I componenti di una valutazione di due diligence sono, testualmente, «Foreign Ownership, Control, or Influence (FOCI); Provenance; Resilience; Foundational Cyber Practices; and Supply Chain Tiers».

1. 01
   FOCI · Proprietà e influenza

   chi controlla davvero il fornitore, e da quale giurisdizione
2. 02
   Provenienza

   da dove viene il prodotto: componenti, codice, luoghi di sviluppo
3. 03
   Resilienza

   cosa succede al vostro servizio se il fornitore si ferma

Vale la pena tradurle in domande, perché è così che si usano.

Proprietà, controllo o influenza estera. Chi possiede la società, chi la controlla, chi può influenzarne le decisioni e sotto quale ordinamento giuridico opera. Non è una domanda geopolitica in astratto: è la domanda su chi, in ultima istanza, può obbligare quel fornitore a fare qualcosa che voi non avete chiesto.

Provenienza. Da dove viene ciò che state comprando. Quali componenti di terzi contiene, dove è stato sviluppato, chi ha scritto le parti che il fornitore non ha scritto. È il livello a cui una distinta dei componenti software — l'SBOM — smette di essere un adempimento e diventa uno strumento.

Resilienza. Che cosa succede se il fornitore ha un incidente, viene acquisito, o semplicemente chiude. Quanto tempo avete, quali dati riuscite a portare via, quanto è realistica l'alternativa.

Pratiche di sicurezza di base. Il livello minimo di igiene: come gestisce le proprie vulnerabilità, come autentica il proprio personale, come risponde agli incidenti, come vi avvisa.

Livelli della catena. La componente che quasi nessuno affronta: il vostro fornitore ha a sua volta fornitori. La domanda non è mappare l'intera catena — non è fattibile — ma sapere se il vostro fornitore la conosce, e fino a che punto.

Perché il quinto punto è quello che fa la differenza

Le prime quattro voci sono, in forme diverse, in molti questionari di valutazione fornitori. La quinta di solito no, e nella pratica è quella da cui arrivano gli incidenti che sorprendono.

Il motivo è strutturale: la responsabilità non si sposta lungo la catena, ma la visibilità sì. Un'organizzazione conosce bene il proprio fornitore diretto, conosce vagamente il fornitore del fornitore, e non conosce affatto il terzo livello. Gli attacchi degli ultimi anni contro piattaforme di supporto, strumenti di gestione remota e librerie di uso comune hanno colpito quasi sempre a un livello che la vittima finale non aveva mai valutato — semplicemente perché non sapeva di averlo.

Chiedere a un fornitore come governate i vostri fornitori non produce una mappa. Produce qualcosa di più utile: si capisce subito se una risposta esiste.

Come usarla senza trasformarla in burocrazia

Il rischio di qualsiasi struttura di valutazione è che diventi un questionario da 200 righe che nessuno legge e che il fornitore compila con il copia e incolla dell'anno prima. Tre criteri per evitarlo.

Proporzionate la profondità al rischio, non al valore del contratto. Un servizio economico che ha accesso alla vostra posta o alle vostre credenziali merita più attenzione di un contratto costoso che non tocca nulla di sensibile.

Fate le domande dove hanno forza, cioè in gara e in contratto. Una risposta scritta in fase di selezione vale più di una dichiarazione raccolta dopo, perché il fornitore sta ancora competendo.

Ripetetela sui sistemi esistenti, almeno per i pochi che contano davvero. È l'uso che il documento indica esplicitamente e quello che nessuno fa. Non serve rifare tutto: serve una lista corta dei fornitori la cui indisponibilità o compromissione vi fermerebbe, e per quelli una rilettura periodica.

Cosa non è

Va detto per non generare aspettative sbagliate. SP 1326 è una guida volontaria, non una norma vincolante e non uno schema di certificazione: nessuno rilascia un attestato «conforme a SP 1326». È una Quick-Start Guide, cioè un documento breve pensato come porta d'ingresso alla SP 800-161r1, non come suo sostituto: chi ha bisogno del quadro completo deve leggere quella.

È inoltre ambito ai fornitori ICT, e l'assenza di problemi in una valutazione di due diligence non è una garanzia di sicurezza. È una riduzione dell'ignoranza, che è una cosa diversa e più modesta — ma è anche l'unica che si può ottenere prima di firmare.