Diligenza “continua” sui fornitori e una valutazione una volta l’anno: il gap che nessun auditor ti contesta, finché non succede l’incidente.
Leggi con attenzione i verbi che la normativa usa sul rischio di terze parti. Sono tutti al presente continuo.
DORA (Art. 28) distingue due cose che la maggior parte delle aziende tratta come una sola: la due diligence pre-contrattuale, un atto puntuale prima della firma, e il monitoraggio continuo dei fornitori critici, che è un’attività permanente. Non sono lo stesso obbligo. Il primo è una fotografia all’ingresso. Il secondo è una sorveglianza che non si ferma mai.
E il Register of Information dell’Art. 28(3) va mantenuto “continuamente aggiornato”, disponibile per ispezione in qualsiasi momento. Non è un documento che si compila a dicembre.
La NIS2 parla la stessa lingua: monitorare, valutare, tenere conto delle vulnerabilità specifiche del fornitore. Verbi di stato, non di evento.
Ora guarda cosa fa la prassi reale. Questionario all’onboarding. Ripetizione una volta l’anno. Archiviazione. Si passa oltre.
È un assessment a eventi discreti usato per soddisfare un obbligo di stato continuo. Tra un assessment e il successivo passano 365 giorni in cui non sai nulla, e il fornitore in quei 365 giorni cambia infrastruttura, espone nuovi servizi, accumula CVE non patchate, magari subisce una compromissione di cui non ti informa.
Ecco perché questo gap è particolarmente insidioso: è invisibile in audit.
L’auditor verifica che tu abbia un processo. Trova il questionario, trova la data, trova l’archivio. Tutto formalmente in ordine. La cadenza annuale supera l’audit senza un rilievo, perché l’audit controlla l’esistenza della procedura, non la continuità effettiva della copertura.
Il gap resta dormiente. Poi un fornitore critico viene bucato a luglio, quattro mesi dopo il tuo ultimo assessment e otto prima del prossimo, e l’attacco arriva fino a te.
A quel punto la domanda dell’autorità non è “avevi una procedura?”. È: “tra l’assessment di marzo e l’incidente di luglio, hai monitorato questo fornitore?”. E la risposta documentata è: no. Per 120 giorni la diligenza “continua” è stata un foglio fermo in un archivio.
La contraddizione non è tecnica. È temporale. La norma misura il rischio in tempo reale; lo strumento standard lo misura una volta l’anno. E il rischio non aspetta il tuo prossimo assessment.
Pubblicato originariamente su LinkedIn.