19 Ago Questionario di conformità dei fornitori: cosa significa, che valore ha e come rispondere

Tempo di lettura stimato: 11 minuti

Indice dei contenuti

• Perché il committente manda ottanta domande, e perché deve farlo
• Un’architettura voluta, non un vuoto da colmare
• Le risposte sono dichiarazioni: cosa si rischia e cosa si guadagna
• Due traiettorie: perché alcune imprese sanno rispondere e altre no
• Le domande sull’intelligenza artificiale: il punto in cui la distanza si allarga
• Quando il fornitore vede più del committente
• Il percorso: cosa fare quando il questionario arriva
• Le domande che mi fanno più spesso
• Domande frequenti
• Le fonti

Fine luglio. Una piccola impresa manifatturiera, quindici dipendenti, fornitrice di un gruppo industriale del nord Europa, riceve una mail con un allegato: ottanta domande su protezione dei dati, sicurezza informatica e — novità di quest’anno — intelligenza artificiale. Termine per rispondere: sei settimane. In calce, un avvertimento: le risposte saranno verificate a campione presso le sedi del fornitore.

Non è un sondaggio e non è un adempimento formale. È un audit, e dal suo esito dipende la continuazione della fornitura. Chi lo riceve si fa quasi sempre la domanda sbagliata — «chi me lo compila?» — ma la domanda giusta è un’altra: che cosa stiamo dichiarando, a chi, e con quali conseguenze se poi qualcuno viene a verificare.

Perché il committente manda ottanta domande, e perché deve farlo

Non è zelo e non è una peculiarità dei committenti. La sicurezza della catena di fornitura è diventata un obbligo di legge di chi sta a monte, e il questionario è lo strumento con cui quell’obbligo arriva dove il legislatore non ha le forze per farlo.

La direttiva NIS 2 (direttiva UE 2022/2555), all’articolo 21, paragrafo 2, lettera d), elenca fra le misure di gestione del rischio «la sicurezza della catena di approvvigionamento, compresi gli aspetti relativi ai rapporti tra ciascun soggetto e i suoi fornitori diretti o prestatori di servizi». In Italia il recepimento è nell’articolo 24, comma 2, lettera d), del d.lgs. 4 settembre 2024, n. 138, che obbliga i soggetti essenziali e importanti a valutare le vulnerabilità di ciascun fornitore e la qualità delle sue pratiche di sicurezza.

La determinazione dell’Agenzia per la cybersicurezza nazionale n. 127437/2026 del 13 aprile 2026 ha reso operativo questo obbligo, richiedendo ai soggetti NIS 2 di censire e dichiarare sulla piattaforma ACN i propri fornitori rilevanti, con indicazione del livello nella catena, dell’impatto sui processi critici, della sostituibilità e delle garanzie di sicurezza contrattuali.

Il GDPR fa la stessa cosa per altra via. L’articolo 28, paragrafo 3, lettera h), del Regolamento UE 2016/679 impone al responsabile del trattamento di mettere a disposizione del titolare tutte le informazioni necessarie a dimostrare il rispetto degli obblighi e di consentire attività di revisione, comprese le ispezioni. Se il fornitore tratta dati personali per conto del committente, il questionario è una modalità, non l’unica ovviamente, in cui può svolgersi l’audit previsto nel contratto.

Spostando il ragionamento nel campo dell’intelligenza artificiale, l’AI Act (Regolamento UE 2024/1689), nella versione riscritta dal Digital Omnibus (Regolamento UE 2026/1744, in vigore dal 27 luglio 2026), attenua l’obbligo diretto di formazione sull’intelligenza artificiale trasformandolo in un obbligo di mezzi, non di risultato: la norma ora prescrive all’impresa di adottare misure per sostenere lo sviluppo dell’alfabetizzazione del personale, senza dover garantire un livello specifico di competenza individuale.

Sennonché il testo non tocca la catena contrattuale. Il risultato è che il controllo sulla formazione si sposta dall’autorità al committente: nessun ispettore verrà a misurare la competenza dei dipendenti in materia di intelligenza artificiale, ma il committente chiederà conto — per iscritto e con una data — di chi in azienda usa quali strumenti, con quali regole, e chi se ne accorge se qualcosa va storto.

Tre norme, un unico effetto: la conformità non arriva per legge al fornitore. Scende per contratto dal committente, ed è più veloce della legge, più specifica, e non negoziabile se si vuole conservare la fornitura.

Un’architettura voluta, non un vuoto da colmare

La prima obiezione che sento, e che va affrontata subito, è: ma l’ACN non poteva pensarci? Non poteva mandare una guida anche ai fornitori, invece di lasciarli soli davanti a un questionario che non capiscono?

No, e la ragione non è una mancanza: è una scelta che ha a che vedere con l’architettura della norma, ed è una scelta sensata.

L’ACN ha fatto ciò che le competeva — ha regolato i soggetti NIS 2, ha costruito la piattaforma, ha fissato le misure di sicurezza di base, ha prodotto campagne di sensibilizzazione rivolte alle PMI e orientamenti generali sulla cybersecurity.

Ma il lavoro di personalizzazione — capire cosa transita in uno specifico rapporto di fornitura, quanto pesa sulla continuità operativa, dove sono le vulnerabilità — può farlo solo il committente.

La ragione è evidente: ogni catena di fornitura presenta i suoi rischi specifici, i suoi trattamenti, i suoi punti critici, e solo chi sta a monte ne ha una conoscenza adeguata. Il fornitore di componenti meccaniche per un gruppo farmaceutico ha un profilo di rischio completamente diverso dal fornitore di servizi IT per un operatore energetico. L’unico soggetto che può calibrare la richiesta è, pertanto, il committente.

Il questionario è quindi il meccanismo di trasmissione che la norma ha progettato. Non è uno strumento burocratico calato dall’alto: è la modalità, non l’unica, in cui un obbligo generale si traduce in una richiesta specifica, adattata alla realtà concreta di quella fornitura.

Questo meccanismo ha una radice che va oltre il diritto dell’Unione. L’articolo 41 della Costituzione riconosce la libertà dell’iniziativa economica privata, ma ne vincola l’esercizio all’utilità sociale e alla sicurezza. L’articolo 2 chiede l’adempimento dei doveri inderogabili di solidarietà economica e sociale.

Il committente NIS 2 che manda il questionario al proprio fornitore sta adempiendo al dovere di solidarietà economica, che nello specifico si realizza nella forma concreta di ottanta domande su privacy, cybersecurity e intelligenza artificiale.

Le risposte sono dichiarazioni: cosa si rischia e cosa si guadagna

Le risposte al questionario, nella prospettiva sopra considerata, di norma vengono richiamate nel contratto o nell’allegato tecnico o nei loro «addenda», diventano il parametro rispetto al quale si misura un inadempimento, e una dichiarazione inesatta espone alla contestazione, alla risoluzione e — quando il rapporto ha già un contenuto economico rilevante — al risarcimento. La verifica a campione, quando è annunciata, di norma arriva davvero.

Ma c’è un rovescio che può tornare utile anche al fornitore e che normalmente non viene colto. Il contenuto del questionario vincola anche il committente a non pretendere di più di quanto ha chiesto. Un questionario compilato con precisione, con le date degli impegni assunti, delimita il perimetro delle obbligazioni. E la risposta «questo non ce l’abbiamo, lo avremo entro il 31 marzo, e nel frattempo la misura transitoria è questa» è più forte di una dichiarazione di conformità piena — perché dimostra consapevolezza.

Conseguentemente il fornitore che risponde con onestà non si indebolisce: si qualifica. Il committente non cerca la perfezione, cerca la prova che il fornitore sa dove si trova e ha un piano per arrivare dove deve essere. Dichiarare una conformità che non c’è è il modo più rapido per perdere la fornitura, perché alla verifica crolla tutto.

Due traiettorie: perché alcune imprese sanno rispondere e altre no

La distanza tra chi affronta il questionario con sicurezza e chi lo vive come uno sgomento non è di dimensione o di settore. È di storia relazionale con la propria catena.

L’impresa che ha camminato con il committente per anni — attraverso il GDPR, l’antiriciclaggio, la sicurezza sul lavoro — ha accumulato strati di competenza. Il committente non le ha mandato solo questionari: nel tempo ha inviato segnali, ha chiesto adeguamenti progressivi, motivandone le ragioni, talvolta ha persino indicato i consulenti a cui fare riferimento. Ogni passaggio ha depositato un po’ di cultura organizzativa.

Così quando arrivano le ottanta domande con la sezione sull’intelligenza artificiale, quell’impresa non si trova spaesata: legge il questionario come una mappa, individua le lacune, e in qualche caso riesce persino a individuare incongruenze nel modus operandi del committente stesso. Questo accade perché nel tempo è riuscita a sviluppare senso critico — che è esattamente ciò che il meccanismo dovrebbe produrre.

Per contro, le imprese che ricevono il questionario per la prima volta — e sono la maggior parte — non hanno avuto nulla di tutto questo.

Le associazioni di categoria hanno misurato il problema: il Cyber Index PMI 2025, promosso da Confindustria e Generali con ACN e Politecnico di Milano, fotografa una maturità cyber media di 55 su 100, sotto la soglia di sufficienza fissata a 60, con il 52% delle PMI fermo tra il livello artigianale e lo zero.

La conformità non si compra

Nel frattempo, il vuoto è stato occupato dal mercato del minimo sindacale: il kit documentale a prezzo fisso, il pacchetto privacy per email, il corso online con l’attestato finale. Strumenti che risolvono un problema documentale — l’informativa, il registro, il modello di DPA.

Sennonché il questionario non pone un problema documentale, ma una questione organizzativa. Senza voler estremizzare, la distanza tra i due è la distanza tra avere un’informativa nel cassetto e saper rispondere quando il committente chiede come si gestisce concretamente un data breach alle 17.00 del venerdì.

Lo stesso vale per la formazione preregistrata. Un video di quaranta minuti in cui qualcuno spiega il GDPR a un pubblico generico, che talvolta trova persino il modo di eludere i controlli di attenzione, soddisfa forse un adempimento formale. Non produce competenza, non cambia il comportamento delle persone, e non risponde alla domanda del committente, che è un’altra — chi in azienda usa quali strumenti di intelligenza artificiale, con quali regole, e chi se ne accorge se qualcosa va storto. Il committente che fa questa domanda sta chiedendo la prova di un percorso, non di una visualizzazione.

La conformità non è uno stato che si compra: è un percorso che si fa con i propri consulenti, che coinvolge il committente e i propri fornitori, e che costa impegno e fatica a tutti.

Le domande sull’intelligenza artificiale: il punto in cui la distanza si allarga

Spostiamo ora il ragionamento nel campo dell’intelligenza artificiale.

L’articolo 4 dell’AI Act, riscritto dal Digital Omnibus, impone un obbligo di mezzi, non di risultato: adottare misure per sostenere lo sviluppo dell’alfabetizzazione, senza dover garantire un livello specifico di competenza individuale. L’attenuazione non è un condono e non riguarda il resto dell’AI Act.

Magari nessuna autorità verrà a misurare quanto sanno i dipendenti, ma vi sarà certo un soggetto interessato a fare questa rilevazione, e sarà il committente.

La domanda che mette in difficoltà quasi tutti è «quali sistemi di IA usate?». Quasi nessuno sa rispondere, perché gran parte degli strumenti in uso non li ha scelti l’azienda. Secondo i dati dell’Osservatorio Artificial Intelligence del Politecnico di Milano (febbraio 2026), otto lavoratori su dieci utilizzano strumenti di intelligenza artificiale non aziendali. Il 41% dichiara di svolgere, grazie all’IA, attività che non sarebbe in grado di fare. E fra le grandi imprese, appena il 9% ha una governance strutturata dell’AI.

Vale la pena soffermarsi su quell’otto su dieci, perché viene letto quasi sempre come un problema di disciplina e non lo è. Chi fa rivedere una mail o preparare la bozza di un preventivo con uno strumento non aziendale non sta tentando di danneggiare l’impresa: sta cercando di lavorare in modo più efficiente.

Queste condotte, però, fanno uscire i dati aziendali e personali al di fuori del perimetro aziendale, all’insaputa della stessa azienda, che in tal modo perde il controllo sugli stessi.

La terza parte a cui approdano i dati non ha alcun rapporto con l’azienda: nessun contratto ai sensi dell’articolo 28 del GDPR, nessuna istruzione documentata, nessuna garanzia su conservazione, riutilizzo e cancellazione. Verso gli interessati e verso il Garante, però, continua a rispondere il titolare del trattamento — cioè l’impresa.

La risposta seria a questa sezione del questionario non è tecnologica, è organizzativa: censimento degli strumenti realmente in uso, policy scritta su cosa è ammesso e cosa no, formazione in presenza e non davanti a uno schermo.

Quando il fornitore vede più del committente

C’è un aspetto del meccanismo su cui vale la pena riflettere, partendo da un caso di esperienza diretta.

Un’impresa che ha ricevuto per anni la formazione del proprio committente — questionari, adeguamenti progressivi, audit — ha sviluppato un livello di consapevolezza tale da individuare incongruenze nel modus operandi del proprio committente.

Il committente ha faticato a recepire l’osservazione.

Non è una tesi generale. Si tratta di un’osservazione circostanziata che pone una domanda legittima. Il sistema della NIS 2 sembra costruito per funzionare in una direzione sola: il committente valuta, il fornitore risponde. Nessuna norma prevede un canale di ritorno, nessun questionario ha una sezione per le osservazioni del fornitore, il Third Party Risk Management in tale prospettiva è architetturalmente asimmetrico. Ma il meccanismo che produce competenza nel fornitore non si spegne al momento della risposta. Quella competenza può risalire — e quando lo fa, il sistema non mi è apparso attrezzato per beneficiarne. Per contro il GDPR, all’articolo 28, paragrafo 3, ultimo periodo, prevede l’obbligo per il responsabile esterno di segnalare al titolare le istruzioni che ritiene contrarie alla disciplina sulla protezione dei dati.

Il fornitore che segnala un problema e non viene ascoltato crea, senza volerlo, un problema anche probatorio: la segnalazione esiste, è scritta, e in caso di incidente dimostra che il committente era stato avvertito. La catena di fornitura funziona meglio come sistema di apprendimento se il flusso di competenza è bidirezionale. Il questionario potrebbe essere il punto in cui questo comincia a succedere — se entrambe le parti lo trattano come uno strumento di lavoro, non come un atto di sottomissione.

Il percorso: cosa fare quando il questionario arriva

1. Leggere tutto il questionario prima di compilare una riga, comprese le domande a cui si sa già rispondere. Le domande che mettono in imbarazzo sono, in realtà, il piano di lavoro dei mesi successivi: è l’unica analisi delle lacune gratuita che l’impresa riceverà mai, consegnata da qualcuno che ha interesse a farla bene.
2. Censire gli strumenti realmente in uso, compresi quelli non aziendali. Il censimento si fa chiedendo e spiegandone le ragioni, non con ispezioni terroristiche al limite della violazione dell’articolo 4 dello Statuto dei lavoratori e della disciplina sulla protezione dei dati.
3. Impartire una regola scritta e una formazione documentata: quali strumenti sono ammessi, quali no, quali categorie di dati non devono mai uscire dal perimetro aziendale, con quali garanzie e verso quali individuate terze parti possono uscire, a chi ci si rivolge nel dubbio.
4. Rispondere con la massima serietà, verificando preventivamente di poter dimostrare il contenuto della risposta ed evitando di «barare»: semmai datando gli impegni con formule del tipo «adozione prevista entro il…», e curando ovviamente di rispettare la scadenza. La verifica a campione, quando è annunciata, arriva.
5. Girare le stesse domande ai propri fornitori, soprattutto per quei servizi informatici che sono esternalizzati. È l’unica risposta sostenibile alla domanda «e i vostri subfornitori?» — che nei questionari c’è sempre — ed è il modo in cui la catena funziona. Chi ha ricevuto il questionario diventa, a sua volta, chi lo manda: il dovere di solidarietà economica si propaga esattamente in questo modo.

Le domande che mi fanno più spesso

Alle domande che ricorrono di più quando il questionario è già sul tavolo ho risposto singolarmente, in una scheda a sé, con il dettaglio che qui sarebbe stato fuori misura.

• Il questionario chiede una misura che non abbiamo adottato: cosa scriviamo?
• Il committente ha annunciato una verifica a campione in azienda: come ci si prepara?
• I dipendenti usano ChatGPT con account personali: cosa rispondiamo alla domanda sui sistemi di intelligenza artificiale?

Domande frequenti

Non siamo soggetti alla NIS 2: possiamo lasciare il questionario senza risposta?

No, se si vuole conservare la fornitura. L’obbligo non grava sul fornitore, grava sul committente, che deve valutare e documentare la sicurezza della propria catena di approvvigionamento: la richiesta arriva per contratto, non dall’autorità. Il silenzio non è neutro — viene registrato come un rischio del fornitore e pesa sulla qualificazione e sui rinnovi. Rispondere dichiarando le lacune, con una data per colmarle, è sempre una posizione migliore del non rispondere.

Chi deve compilare il questionario: il consulente esterno o noi?

Il consulente serve a leggere le domande, a capire che cosa chiedono davvero e a impostare le risposte, ma le informazioni le ha soltanto l’azienda: chi usa quali strumenti, chi se ne accorge quando qualcosa va storto, chi decide. Un questionario compilato interamente da un esterno si riconosce alla prima verifica, perché in azienda nessuno sa spiegare ciò che è stato dichiarato. È il motivo per cui «chi me lo compila?» è la domanda sbagliata.

Il committente chiede misure che il contratto non prevede: possiamo rifiutarci?

Dipende da dove nasce la richiesta. Se la misura discende da un obbligo di legge del committente — la NIS 2, l’articolo 28 del GDPR — sottrarsi è difficile, perché quell’obbligo lui lo deve documentare. Se invece è una pretesa ulteriore, con costi non previsti, è materia di trattativa: il momento per dirlo è adesso, per iscritto, indicando costi e tempi di adozione. La scelta peggiore è rispondere «sì» a tutto e non adempiere.

Ci chiedono dei nostri subfornitori e non li abbiamo mai verificati: cosa rispondiamo?

Si dichiara la situazione reale — l’elenco dei subfornitori rilevanti e il fatto che una verifica strutturata non è ancora stata svolta — e si indica entro quando comincerà. Poi si comincia davvero, girando a valle le stesse domande ricevute: è l’unico modo di rispondere in modo sostenibile alla domanda «e i vostri subfornitori?», che nei questionari c’è sempre. Se i subfornitori impiegano sistemi di intelligenza artificiale, il rischio arriva anche da lì: ne ho scritto a proposito del caso in cui un agente autonomo è uscito dal perimetro in cui doveva restare.

Le sei settimane non ci bastano: possiamo chiedere una proroga?

Sì, e conviene chiederla subito, non a ridosso della scadenza. La richiesta è credibile quando dice tre cose: quali sezioni sono già pronte, quali no e perché, entro quando arriverà il resto. Un differimento chiesto in anticipo e motivato viene quasi sempre concesso, perché al committente serve una risposta utilizzabile, non una risposta puntuale. Una scadenza mancata in silenzio, invece, è essa stessa un’informazione sull’organizzazione del fornitore.

Le fonti

• Direttiva (UE) 2022/2555 (NIS 2), art. 21, par. 2, lett. d).
• D.lgs. 4 settembre 2024, n. 138, art. 24, comma 2, lett. d).
• Agenzia per la cybersicurezza nazionale, determinazione n. 127437/2026 del 13 aprile 2026.
• Regolamento (UE) 2016/679 (GDPR), art. 28, in particolare par. 3, lett. h) e ultimo periodo.
• Regolamento (UE) 2024/1689 (AI Act), art. 4, come modificato dal Regolamento (UE) 2026/1744 (Digital Omnibus), in vigore dal 27 luglio 2026.
• Legge 20 maggio 1970, n. 300 (Statuto dei lavoratori), art. 4.
• Cyber Index PMI 2025, Confindustria / Generali / Osservatorio Cybersecurity & Data Protection del Politecnico di Milano / ACN.
• Osservatorio Artificial Intelligence del Politecnico di Milano, comunicato stampa di febbraio 2026.
• Costituzione della Repubblica italiana, artt. 2 e 41.

Ogni situazione va valutata nel caso concreto, tenendo conto del settore, dei trattamenti effettivamente svolti e del contenuto del contratto di fornitura. Lo Studio PR&A Legali assiste imprese ed enti nella preparazione e nella revisione di queste risposte: i recapiti sono nella pagina Contatti.

Alessandro Rinaldi, avvocato del Foro di Treviso

Questo articolo ha finalità informative e non costituisce parere legale. Ogni situazione presenta elementi specifici che richiedono una valutazione dedicata. Per il tuo caso, rivolgiti a un professionista.

Se questo articolo ha destato il tuo interesse, Ti invito a guardare il video di approfondimento che trovi su youtube: https://www.youtube.com/watch?v=AuBxeNvHaqI

Ultimo aggiornamento: 19 agosto 2026.