Un fornitore IT non si valuta dalla sua brochure commerciale. Il criterio più affidabile resta l’analisi tecnica del contratto, la verifica dell’effettivo ambito delle certificazioni e la capacità del candidato di documentare i propri impegni in materia di sicurezza rispetto agli obblighi normativi del cliente.
Ambito delle certificazioni: cosa copre davvero l’attestazione di un fornitore IT
Una certificazione ISO 27001 o una qualifica SecNumCloud esibita da un provider di hosting non garantisce nulla riguardo al gestore dei servizi IT che amministra quotidianamente il sistema. Ogni attestazione copre un ambito preciso: entità, sedi e servizi. Se il fornitore affida l’hosting a una terza parte certificata, ma gestisce direttamente l’amministrazione, la certificazione della terza parte non si estende alle sue pratiche.
Prima di firmare, chiedete il certificato originale e leggete l’allegato relativo all’ambito. Verificate che i servizi indicati nel preventivo corrispondano a quelli elencati nel certificato. Un fornitore serio fornisce queste informazioni senza esitazioni.
Operatori come ProInfo Services strutturano la propria offerta all’insegna della trasparenza, specificando le componenti tecniche coperte dalle proprie qualifiche e quelle dei partner di hosting.
Domande da porre sulle certificazioni
- Quali sedi e quali servizi rientrano nell’ambito sottoposto ad audit della vostra certificazione?
- L’hosting è gestito direttamente o affidato a terzi? In quest’ultimo caso, il subfornitore è certificato per lo stesso ambito?
- Con quale frequenza si svolge l’audit di rinnovo ed è possibile consultare l’ultimo rapporto?
Obblighi NIS2 e GDPR: responsabilità che l’esternalizzazione non trasferisce
L’esternalizzazione dei servizi IT non trasferisce la responsabilità giuridica del cliente. In materia di GDPR, l’azienda resta responsabile del trattamento dei dati personali, anche se è il fornitore a gestirli tecnicamente. In caso di violazione, spetta al cliente notificare l’accaduto alla CNIL entro i termini previsti.
Il contratto di nomina a responsabile del trattamento deve quindi definire la catena di allerta. Il fornitore si impegna a segnalare al cliente qualsiasi violazione entro un termine stabilito, fornendo dettagli sufficienti affinché il cliente possa adempiere ai propri obblighi di notifica.
Impatto della direttiva NIS2 sulla scelta del fornitore
Un fornitore IT può essere interessato indirettamente dalla NIS2. Se l’azienda cliente rientra nell’ambito di applicazione della direttiva, deve ottenere dai propri fornitori garanzie sulla gestione degli accessi amministrativi, sulla conservazione dei log delle attività, sulla gestione delle vulnerabilità e sulla segnalazione degli incidenti.
In concreto, ponete al candidato tre domande: qual è la sua politica di registrazione degli accessi privilegiati, qual è la sua procedura di gestione delle vulnerabilità (frequenza delle scansioni, tempi di correzione) e qual è il suo processo di notifica degli incidenti. Un fornitore che non sa rispondere a queste domande non è pronto ad affiancare un’azienda soggetta a requisiti settoriali di cybersicurezza.
SLA e impegni di servizio: leggere il contratto di gestione IT oltre il tasso di disponibilità
Il tasso di disponibilità dichiarato (spesso espresso in percentuale) dice ben poco se non è accompagnato da tre elementi: metodo di calcolo, esclusioni e penali effettive.
- Metodo di calcolo: il tempo dedicato alla manutenzione programmata è escluso dal calcolo? In caso affermativo, un fornitore può dichiarare un tasso elevato pur pianificando frequenti finestre di indisponibilità.
- Esclusioni: gli incidenti legati a un fornitore terzo (operatore di telecomunicazioni, produttore di software) sono conteggiati o esclusi dallo SLA?
- Penali: un credito di pochi punti percentuali sulla fattura mensile non compensa una perdita operativa. Verificate se il contratto prevede un meccanismo di compensazione proporzionato all’impatto effettivo.
- GTI (garanzia dei tempi di intervento) e GTR (garanzia dei tempi di ripristino): sono due indicatori distinti. Il primo misura il tempo necessario affinché un tecnico prenda in carico il ticket, il secondo il tempo necessario per risolvere effettivamente il problema. Un GTI breve abbinato a un GTR poco chiaro non ha valore operativo.
Abbiamo constatato che i contratti più solidi distinguono chiaramente i livelli di criticità (da P1 a P4), con GTI e GTR differenziati per ciascun livello e penali progressive.
Reversibilità e dipendenza tecnica: pianificare l’uscita già al momento della firma
La clausola di reversibilità determina la vostra libertà di cambiare fornitore. Un contratto di gestione IT privo di un piano di reversibilità dettagliato crea una dipendenza tecnica che, in caso di interruzione del rapporto, può costare cara.
La reversibilità comprende tre aspetti. Il primo è la restituzione dei dati in un formato utilizzabile, non in un formato proprietario leggibile solo dal fornitore uscente. Il secondo riguarda la documentazione tecnica: schemi di rete, inventario delle configurazioni e procedure operative. Il terzo concerne il periodo di transizione, durante il quale il fornitore uscente collabora con quello nuovo per garantire la continuità del servizio.
Aspetti da verificare nella clausola di reversibilità
Verificate che il contratto specifichi il formato di restituzione dei dati, il tempo massimo per il trasferimento e l’eventuale costo del servizio di reversibilità. Alcuni fornitori fatturano la reversibilità in base al tempo impiegato, senza fissare un tetto massimo: in caso di disaccordo, questo può diventare uno strumento di pressione.
Un fornitore IT affidabile include la reversibilità tra gli impegni contrattuali standard, anziché proporla come opzione negoziabile alla fine della trattativa. Il piano di reversibilità va negoziato prima della firma, quando il rapporto di forza è ancora equilibrato.
La scelta di un fornitore IT che affianchi quotidianamente un’azienda si basa meno sulle promesse dichiarate che sull’attenta lettura del contratto, sulla verifica concreta dell’ambito delle certificazioni e sulla capacità del candidato di soddisfare i requisiti normativi del cliente. Un buon fornitore documenta i propri impegni, è trasparente sui propri limiti e pianifica l’uscita fin dal primo giorno.
