Adempimenti | DPIA | Vulnerability Assessment | Servizio DPO | Normativa | News | Consulenti | Prezzi | Contattaci
- Numero verde 800 62 89 74
Dipendenze fra servizi nella piattaforma iusprivacy
Il contesto e il problema
La catena di approvvigionamento è una delle dieci famiglie di misure dell'art. 24 (c. 2, lett. d), e la Determinazione 127437/2026 ha reso l'obbligo tangibile: nell'aggiornamento annuale si comunicano i fornitori rilevanti NIS, dal 15 aprile al 31 maggio, con denominazione, codice fiscale, sede, codici CPV e criterio di rilevanza. Per non lasciarne fuori nessuno, la piattaforma guarda al fornitore non solo quando eroga direttamente un servizio in perimetro, ma anche quando eroga qualcosa da cui dipende, anche indirettamente, un servizio in perimetro. Senza un grafo delle dipendenze, questo calcolo non si può fare.
Le dipendenze servono anche a un altro scopo: capire cosa succede quando un servizio si interrompe. Se il servizio di hosting si ferma, quali servizi erogati ne risentono? La risposta è nel grafo, non in un documento statico.
La piattaforma di iusprivacy
La linguetta Propedeutici della scheda di ogni servizio è il luogo in cui si dichiarano le dipendenze.
Tre sezioni, un unico grafo
- Dipende da — i servizi propedeutici: quelli senza i quali questo servizio non può funzionare. Si aggiungono con il pulsante «Aggiungi», scegliendo il servizio e descrivendo la dipendenza.
- Serve a — il verso opposto: i servizi che dipendono da questo. Si popola automaticamente quando un altro servizio dichiara la dipendenza, che anche da qui si può rimuovere.
- Impatto (cosa cade a cascata) — il calcolo che la piattaforma esegue percorrendo il grafo: tutti i servizi che verrebbero impattati, di ogni tipo, con la loro categoria di rilevanza e la distanza, cioè il numero di passaggi che li separa. È la vista che risponde alla domanda: se questo servizio si ferma, cosa succede?
Perché serve per i fornitori rilevanti
La Determinazione 127437/2026 considera rilevante il fornitore di una fornitura ICT, oppure di una fornitura la cui interruzione avrebbe un impatto significativo, anche per indisponibilità di alternative: una valutazione che spetta all'organizzazione. La piattaforma prepara un elenco di candidati, sovra-inclusivo per scelta, partendo dal perimetro e percorrendo il grafo dei propedeutici: se il servizio fruito A è propedeutico al servizio interno B, che è propedeutico al servizio erogato C (in perimetro NIS), allora il fornitore di A risulta candidato fornitore rilevante NIS — anche se non eroga direttamente a C — e sulla sua scheda compare la causa. Senza le dipendenze dichiarate, la derivazione automatica è incompleta; un fornitore rilevante per ragioni che le relazioni non mostrano si dichiara a mano, con la motivazione. Una dipendenza è un fatto; l'impatto significativo è un giudizio: per ogni candidato l'organizzazione dichiara il criterio ACN sulla scheda del fornitore.
Cosa ottieni
- Il grafo delle dipendenze fra servizi: chi dipende da chi, e cosa cade a cascata.
- La base per la derivazione automatica dei candidati fornitori rilevanti NIS — incluse le dipendenze indirette.
- La vista d'impatto per ogni servizio: quali servizi vengono toccati se questo si interrompe.
- Il prerequisito per la continuità operativa e per la valutazione della supply chain.
Le dipendenze si dichiarano al passo 2 del percorso di conformità, e si completano al passo 5 con quelle verso le forniture, lungo tutta la catena che sostiene i servizi in perimetro.
FAQ
D. Bisogna dichiarare tutte le dipendenze o solo quelle dei servizi NIS?
R. Tutte quelle della catena che sostiene i servizi in perimetro NIS, compresi i servizi interni e le forniture che da soli in perimetro non sono: è risalendo quella catena che la piattaforma trova i fornitori rilevanti, come nell'esempio del servizio fruito A. Le dipendenze dei servizi fuori perimetro non sono sempre richieste come dato a sé, ma servono quando incidono sui servizi NIS, sulla continuità o sui rischi.
D. Cosa succede se non dichiaro una dipendenza?
R. La piattaforma non può calcolare l'impatto a cascata né derivare correttamente i fornitori rilevanti. Un fornitore che dovrebbe risultare rilevante potrebbe non comparire nell'elenco, con il rischio di un'omissione nell'aggiornamento annuale all'ACN. Finché la catena non è completa, il fornitore si può dichiarare rilevante a mano sulla sua scheda, con la motivazione, e l'elenco dei soggetti si filtra ed esporta in Excel per l'aggiornamento annuale.
D. Le dipendenze si aggiornano automaticamente?
R. No. Le dipendenze si dichiarano manualmente perché sono una scelta dell'organizzazione: decidere che il servizio A dipende dal servizio B è un'affermazione di fatto che solo chi conosce l'organizzazione può fare. La piattaforma calcola le conseguenze (impatto a cascata, fornitori candidati), non le premesse. Le dipendenze hanno una data di inizio e di fine, e la piattaforma rifiuta quelle che chiuderebbero un ciclo.