In parole semplici. La sicurezza entra negli acquisti fin dalla progettazione della fornitura.
Descrizione ufficiale
Sono stabiliti e accettati dagli stakeholder dell'organizzazione il programma, la strategia, obiettivi, politiche e processi di gestione del rischio di cybersecurity della catena di approvvigionamento.
Requisiti
- p.1In merito all’affidamento di forniture con potenziali impatti sulla sicurezza dei sistemi informativi e di rete, anche mediante ricorso agli strumenti delle centrali di committenza di cui all’allegato I.1, articolo 1, comma 1, lettera i), del decreto legislativo 31 marzo 2023, n. 36, sono previsti: a) il coinvolgimento dell’organizzazione per la sicurezza informatica di cui alla misura GV.RR-02 nella definizione ed esecuzione dei processi di approvvigionamento a partire dalla fase di identificazione e progettazione della fornitura; b) in accordo agli esiti della valutazione del rischio associato alla fornitura di cui alla misura GV.SC-07, la definizione di requisiti di sicurezza sulla fornitura coerenti con le misure di sicurezza applicate dal soggetto NIS ai sistemi informativi e di rete.
Evidenze tipiche
- Procedura di approvvigionamento
- Requisiti di sicurezza per tipologia di fornitura
Domande frequenti su GV.SC-01
Cosa chiede la misura GV.SC-01?
La sicurezza entra negli acquisti fin dalla progettazione della fornitura. Il testo ufficiale è: «Sono stabiliti e accettati dagli stakeholder dell'organizzazione il programma, la strategia, obiettivi, politiche e processi di gestione del rischio di cybersecurity della catena di approvvigionamento.»
La misura GV.SC-01 vale per i soggetti importanti?
Sì: per i soggetti importanti prevede 1 requisito, per gli essenziali 2.
Quali evidenze servono per dimostrare GV.SC-01?
Tipicamente: Procedura di approvvigionamento; Requisiti di sicurezza per tipologia di fornitura. I documenti non vanno caricati sul portale ACN, ma devono essere pronti in caso di verifica.
GV.SC-01 richiede l'approvazione degli organi di amministrazione?
Non direttamente: nessun requisito di GV.SC-01 prevede un'approvazione specifica degli organi, che restano comunque responsabili dell'attuazione delle misure (art. 23).
La categoria GV.SC: Gestione del rischio di cybersecurity della catena di approvvigionamento
I processi di gestione del rischio di cybersecurity della catena di approvvigionamento sono identificati, stabiliti, gestiti, monitorati e migliorati dagli stakeholder dell'organizzazione.
Altre misure della stessa categoria:
- GV.SC-02: Ruoli di sicurezza dei fornitori
- GV.SC-04: Inventario dei fornitori
- GV.SC-05: Clausole di sicurezza nei contratti
- GV.SC-07: Valutazione del rischio fornitori
Descrizione e requisiti riportano il testo degli Allegati 1 e 2 della Det. ACN 379907/2025. La spiegazione e le evidenze tipiche sono testi editoriali non ufficiali.