In parole semplici. I requisiti di sicurezza devono comparire in offerte, gare, contratti e accordi.
Descrizione ufficiale
I requisiti per affrontare i rischi di cybersecurity nella catena di approvvigionamento sono stabiliti, prioritizzati e integrati nei contratti e in altri tipi di accordi con i fornitori e altre terze parti rilevanti.
Requisiti
I requisiti sono identici per soggetti importanti ed essenziali.
- p.1Fatte salve motivate e documentate ragioni normative o tecniche, i requisiti di sicurezza di cui alla misura GV.SC-01, punto 1, lettera b) sono inseriti nelle richieste di offerta, bandi di gara, contratti, accordi e convenzioni relativi alle forniture con potenziali impatti sulla sicurezza dei sistemi informativi e di rete.
Per alcuni requisiti di questa misura è ammessa la mancata attuazione per motivate e documentate ragioni normative o tecniche, con misure compensative e descrizione del rischio residuo nel piano di trattamento. Approfondisci.
Evidenze tipiche
- Clausole contrattuali
- Registro delle eccezioni motivate
Domande frequenti su GV.SC-05
Cosa chiede la misura GV.SC-05?
I requisiti di sicurezza devono comparire in offerte, gare, contratti e accordi. Il testo ufficiale è: «I requisiti per affrontare i rischi di cybersecurity nella catena di approvvigionamento sono stabiliti, prioritizzati e integrati nei contratti e in altri tipi di accordi con i fornitori e altre terze parti rilevanti.»
La misura GV.SC-05 vale per i soggetti importanti?
Sì: per i soggetti importanti prevede 1 requisito, per gli essenziali 1.
Quali evidenze servono per dimostrare GV.SC-05?
Tipicamente: Clausole contrattuali; Registro delle eccezioni motivate. I documenti non vanno caricati sul portale ACN, ma devono essere pronti in caso di verifica.
GV.SC-05 richiede l'approvazione degli organi di amministrazione?
Non direttamente: nessun requisito di GV.SC-05 prevede un'approvazione specifica degli organi, che restano comunque responsabili dell'attuazione delle misure (art. 23).
La categoria GV.SC: Gestione del rischio di cybersecurity della catena di approvvigionamento
I processi di gestione del rischio di cybersecurity della catena di approvvigionamento sono identificati, stabiliti, gestiti, monitorati e migliorati dagli stakeholder dell'organizzazione.
Altre misure della stessa categoria:
- GV.SC-01: Sicurezza negli acquisti e nelle forniture
- GV.SC-02: Ruoli di sicurezza dei fornitori
- GV.SC-04: Inventario dei fornitori
- GV.SC-07: Valutazione del rischio fornitori
Descrizione e requisiti riportano il testo degli Allegati 1 e 2 della Det. ACN 379907/2025. La spiegazione e le evidenze tipiche sono testi editoriali non ufficiali.