Vendor Assessment Enterprise: Come Superare il Controllo Legale di un Cliente Grande

Nota metodologica. La presente guida è aggiornata al 17 giugno 2026 e si basa sulle prassi di vendor assessment adottate da aziende enterprise italiane ed europee, sui requisiti GDPR (Reg. UE 2016/679) e sulle best practice di settore per fornitori SaaS. Il contenuto ha finalità esclusivamente informativa e non costituisce parere legale.

Fonti primarie: Reg. UE 2016/679 (GDPR) Art. 28 - EDPB Linee guida 07/2020 sui responsabili del trattamento - ISO/IEC 27001:2022 - SOC 2 - AICPA

La vendita a un cliente enterprise è una milestone importante per qualsiasi startup SaaS. Ma prima di firmare il contratto, il cliente chiederà di accedere alla tua data room di vendor assessment, spesso tramite un questionario di sicurezza dettagliato.

Il vendor assessment è il processo con cui l'azienda acquirente verifica che il fornitore SaaS rispetti i propri standard di sicurezza, compliance e protezione dei dati. Può durare da pochi giorni a diversi mesi. Prepararsi in anticipo è la differenza tra chiudere il contratto in 2 settimane e perderlo perché il procurement è andato in stallo.

1. Cosa chiede un cliente enterprise nel vendor assessment

Il questionario di vendor assessment varia per complessità e profondità. Le aree coperte sono generalmente le stesse:

1.1. Protezione dei dati (GDPR)

È l'area più verificata. Il cliente vuole sapere come tratti i dati personali che ricevi o generi per suo conto.

Documenti richiesti:

• DPA firmato e pronto per la controfirma. Deve essere specifico per il tuo servizio (non un DPA generico copiato da internet)
• Elenco dei sub-processor autorizzati (cloud hosting, analytics, API AI, payment gateway, ecc.)
• Sedi di trattamento dei dati (data residency): paesi UE o extra-UE
• Meccanismo di trasferimento extra-UE (SCC, DPF, BCR) per ogni sub-processor extra-UE
• Retention policy: per quanto tempo conservi i dati del cliente dopo la cessazione del servizio
• Procedura di notifica data breach: tempi e modalità di notifica al cliente

1.2. Sicurezza informatica

Documenti richiesti:

• Policy di sicurezza (accessi, password, backup, crittografia)
• Certificazioni: SOC 2 Type II (preferito dalle aziende USA) o ISO 27001 (preferito dalle aziende UE)
• Report di penetration test (non più vecchio di 12 mesi)
• Vulnerability management policy: come gestisci le vulnerabilità del software
• Business continuity e disaster recovery plan

1.3. Disponibilità e continuità del servizio

Documenti richiesti:

• SLA con uptime garantito (tipicamente 99.5% - 99.99%)
• Penali per downtime: crediti di servizio
• Architettura di ridondanza (multi-AZ, multi-region)
• Procedure di escalation e tempi di risposta

1.4. Compliance normativa

Documenti richiesti:

• AI Act gap analysis e classificazione del rischio (se il software utilizza AI)
• FRIA per sistemi AI ad alto rischio
• NIS2 assessment: se il fornitore SaaS è soggetto NIS2 (dimensione media impresa), evidenza della registrazione ACN
• DORA compliance: se il cliente è una banca o un'assicurazione, potrebbe essere necessario che il contratto SaaS includa le clausole obbligatorie ex Art. 30 DORA

2. Come prepararsi: azioni pratiche

Azione 1: Predisporre un pacchetto documentale standard

Crea una cartella strutturata con tutti i documenti che il cliente enterprise probabilmente chiederà. Organizzala per sezioni:

1. Compliance (DPA, Privacy Policy, Registro Trattamenti, DPIA)
2. Security (ISO 27001/SOC 2, penetration test report, policy)
3. Contract (SLA, Terms of Service, clausole DORA se applicabili)
4. AI (AI Act gap analysis, FRIA, AI Literacy documentation)
5. Sub-processor (elenco aggiornato con sede e meccanismo di trasferimento)

Azione 2: Preparare risposte standard ai questionari

Molti clienti enterprise usano questionari standardizzati di settore: SIG (Standard Information Gathering), CAIQ (Consensus Assessments Initiative Questionnaire), o questionari interni. Predisporre risposte standard accelera il processo.

Azione 3: Verificare la catena DPA

Un cliente enterprise vuole sapere non solo se hai un DPA, ma se i tuoi fornitori (sub-processor) ce l'hanno. La catena contrattuale deve essere completa: cliente > startup > AWS/Vercel > API AI. Una lacuna in un anello della catena blocca il vendor assessment.

3. Cosa fare subito

1. Predisporre un DPA pronto per la firma, specifico per il servizio offerto, con elenco dei sub-processor e sedi di trattamento
2. Avviare la procedura per una certificazione di sicurezza (ISO 27001 o SOC 2) se il target sono clienti enterprise
3. Eseguire un penetration test annuale e conservare il report
4. Documentare tutte le misure di sicurezza in un security whitepaper da condividere con i prospect
5. Predisporre risposte standard ai questionari SIG e CAIQ

Domande Frequenti (FAQ)

Devo avere la certificazione SOC 2 per vendere a un'azienda enterprise italiana? Non è obbligatoria, ma è fortemente consigliata. Le aziende enterprise italiane tendono a preferire ISO 27001, mentre le aziende USA chiedono SOC 2. In assenza di certificazione, il cliente potrebbe richiedere un audit documentale approfondito della tua sicurezza. La certificazione riduce i tempi del vendor assessment.

Cosa succede se il mio penetration test rileva vulnerabilità critiche? Il penetration test è uno strumento di miglioramento, non di esclusione. Se il cliente vede vulnerabilità critiche, si aspetta che tu abbia un piano di remediation e un timeline per risolverele. La trasparenza è apprezzata: nascondere vulnerabilità note è peggio che dichiararle con un piano di risoluzione.

Un cliente enterprise può chiedere di auditare i miei fornitori cloud? I contratti enterprise spesso includono una clausola di audit che permette al cliente (o a un revisore terzo) di verificare le misure di sicurezza del fornitore, incluso l'accesso ai datacenter dei sub-processor cloud. In pratica, questa clausola viene esercitata raramente, ma è standard nei contratti di fornitura SaaS.

Approfondimenti consigliati:

• Data Room Compliance: Checklist per Startup in Raccolta Fondi
• Vercel e Supabase: DPA GDPR e Catena Contrattuale
• DORA: Resilienza Operativa Digitale
• NIS2: Supply Chain e Notifica Incidenti

Fonti: GDPR Art. 28 - EUR-Lex; EDPB Linee guida responsabile trattamento; ISO/IEC 27001; SOC 2 AICPA.