Come confrontare le proposte in modo equo
Chieda a ciascun fornitore di formulare un prezzo per le stesse funzioni critiche, scenari di minaccia e dipendenze da sistemi in produzione e di spiegare le ipotesi relative a ruoli, accessi, ambienti e finestre di test. Richieda evidenze pertinenti sull’esperienza del team incaricato e un esempio di report. Confronti le attività proposte di test e retest prima di confrontare le tariffe giornaliere: il prezzo più basso potrebbe riferirsi a un incarico diverso.
Iniziate dal team che svolgerà effettivamente il lavoro
Valutare il fornitore e le persone indicate per nome che svolgeranno il lavoro. Il materiale promozionale di un’azienda non dimostra la disponibilità, l’idoneità o l’indipendenza del team proposto per il test.
Chieda le evidenze richieste dall’articolo 27 del DORA, dagli RTS e dalle aspettative dell’autorità competente in materia di approvvigionamento. Concordi la procedura per le sostituzioni e il subappalto prima dell’inizio dei lavori.
Domande per il vostro dossier di due diligence
- Competenza: quale esperienza pertinente in threat intelligence, penetration test e attività di red team può comprovare il team proposto?
- Idoneità: come vengono valutate la reputazione, le referenze e gli eventuali conflitti di interesse?
- Quadro etico: a quale accreditamento, certificazione o codice formale di condotta applicabile si fa riferimento?
- Garanzia indipendente: quali garanzie o evidenze di audit documentano la gestione dei rischi TLPT e delle informazioni riservate?
- Assicurazione: la copertura di responsabilità civile professionale comprende le attività proposte e i rischi associati?
- Trattamento dei dati: dove verranno elaborate le evidenze, chi potrà accedervi e come verranno conservate ed eliminate?
- Continuità del servizio: come vengono gestite le risorse designate, la copertura delle escalation e le dipendenze dal fornitore?
Confrontare le proposte sulla base delle stesse ipotesi
Fornite un briefing comune: entità giuridiche, autorità competente, possibili funzioni critiche, dipendenze geografiche e ICT, tempistiche previste e governance. Richiedete che le proposte indichino le incognite anziché nasconderle dietro una promessa fissa.
| Voce contrattuale | Cosa occorre chiarire |
|---|---|
| Ambito e autorizzazione | Funzioni, sistemi, autorizzazioni legali, esclusioni e processo di convalida. |
| Controlli del rischio | Condizioni di arresto, gestione degli incidenti, coordinamento con i fornitori e ripartizione delle responsabilità. |
| Output | Rapporti, modelli, destinatari, responsabilità e trasferimento sicuro. |
| Risorse | Ruoli designati, esperienza, disponibilità, sostituzioni e subappalto. |
| Condizioni commerciali | Ipotesi, tariffe, modifiche, ritardi ed eventuali ripetizioni dei test per fase. |
Parli di un incarico con Atlant Security
Questo sito presenta un servizio TLPT ai sensi del DORA. Non pubblica affermazioni non verificate in merito ad accreditamenti, assicurazioni o approvazioni delle autorità di vigilanza. Il team proposto, le evidenze delle competenze, le responsabilità di erogazione e i termini contrattuali devono essere valutati durante la definizione dell'ambito e l'approvvigionamento.
Avviate una conversazione per l’approvvigionamento usando dettagli non sensibili. Predisponete un canale riservato prima di scambiare documenti di due diligence o informazioni sui sistemi.
Fonti primarie
- DORA · Regolamento (UE) 2022/2554
- RTS TLPT · Regolamento delegato (UE) 2025/1190
- BCE · Framework e linee guida TIBER-EU
Informazioni generali, non costituiscono consulenza legale. Verificate i requisiti applicabili e le modalità dei test con l’autorità competente.
Preparare un brief prima della chiamata di definizione dell’ambito
Trasformi una notifica all’autorità o una discussione preliminare di pianificazione in un briefing iniziale utile. Individui le funzioni e le dipendenze da chiarire prima di concordare l’ambito del TLPT.
Utilizzi il generatore gratuito di documenti di definizione dell’ambito per TLPT DORA per indicare obiettivi, aree di valutazione, vincoli e preferenze relative all’NDA. Riveda l’ambito proposto, quindi lo invii direttamente ad Atlant Security tramite il modulo di contatto.
