Adempimenti | DPIA | Vulnerability Assessment | Servizio DPO | Normativa | News | Consulenti | Prezzi | Contattaci
- Numero verde 800 62 89 74
Servizi fruiti e contratti nella piattaforma iusprivacy
Il contesto e il problema
L'art. 24, c. 2, lett. d) del Decreto NIS include fra le misure la sicurezza della catena di approvvigionamento, e il c. 3 chiede di valutare le vulnerabilità specifiche di ogni fornitore diretto e la qualità complessiva delle sue pratiche di sicurezza. La Determinazione 127437/2026 ha reso l'obbligo tangibile: nell'aggiornamento annuale (15 aprile – 31 maggio) si comunicano all'ACN i fornitori rilevanti NIS — quelli che erogano una fornitura ICT oppure una fornitura la cui interruzione o compromissione avrebbe un impatto significativo, anche per indisponibilità di alternative — con denominazione, codice fiscale, Paese, codici CPV e criterio di rilevanza.
Nella piattaforma il principio è: una fornitura è un servizio fruito. Il rapporto con il fornitore si censisce come servizio di tipo «fruito», con il fornitore fra i soggetti, la sostituibilità della fornitura dichiarata sulla scheda, e almeno un contratto collegato.
La piattaforma di iusprivacy
Il servizio di tipo fruito
Un servizio di tipo fruito si crea come qualsiasi altro servizio (CMDB → Servizi → Aggiungi), selezionando «Fruito» come tipo. La scheda è identica: dati, contratto, soggetti, asset, misure, propedeutici. La differenza operativa è che il fornitore si assegna nella linguetta Soggetti e ruoli, e la sostituibilità si dichiara sulla scheda (da «alta» a «non sostituibile»): è un fattore del criterio dell'impatto significativo della determinazione ACN, non l'intero criterio, che l'organizzazione dichiara sulla scheda del fornitore.
Il contratto
Ogni servizio non in bozza deve avere almeno un contratto: la piattaforma ne apre uno automaticamente alla creazione del servizio, con l'oggetto precompilato. Si completa con date, rinnovi, clausole rilevanti — in particolare le clausole di notifica (il fornitore vi avvisa entro N ore in caso di incidente): sono fra le misure attese sulla supply chain, insieme a questionari, certificazioni, subfornitura, continuità e uscita dal rapporto, le cui evidenze si allegano al contratto. Un contratto può coprire più servizi.
Gli asset della fornitura
Gli asset collegati al servizio fruito qualificano la natura della fornitura: la piattaforma deduce la natura ICT dalle tipologie degli asset collegati, come controllo di coerenza: una fornitura senza asset collegati risulta non-ICT, e se è ICT senza asset da collegare si usa il contrassegno di override. La natura ICT che si dichiara all'ACN sta nel criterio di rilevanza sulla scheda del fornitore, insieme ai codici CPV di ciascuna fornitura.
Cosa ottieni
- Il censimento strutturato delle forniture: fornitore, sostituibilità, contratto, asset, dipendenze.
- La base per la derivazione automatica dei candidati fornitori rilevanti NIS (scheda 27).
- Le clausole di notifica annotate sul contratto, tracciabili e verificabili.
- Le forniture valutabili come ogni altro servizio nel modulo Valutazioni del rischio.
I servizi fruiti sono il passo 5 del percorso di conformità.
FAQ
D. Un fornitore va prima censito fra i soggetti?
R. Sì. Il fornitore è un soggetto: censirlo nell'anagrafica è il prerequisito per assegnarlo al servizio fruito.
D. Cosa cambia fra sostituibilità «alta» e «non sostituibile»?
R. La sostituibilità è uno dei fattori con cui giudicare l'impatto significativo dell'interruzione (Det. 127437/2026): una fornitura difficile da sostituire è un candidato naturale al secondo criterio. Non è però la sostituibilità a rendere rilevante il fornitore nella piattaforma: lo diventa se fornisce un servizio in perimetro o uno che lo sostiene, e il criterio ACN lo dichiara l'organizzazione.
D. Le forniture si valutano nel modulo rischi?
R. Sì. Un servizio fruito si valuta come ogni altro servizio: è così che la valutazione della supply chain richiesta dall'art. 24, c. 3 entra nel sistema.