In parole semplici. Valutare il rischio di ogni fornitura e controllare nel tempo che i requisiti siano rispettati.
Descrizione ufficiale
I rischi posti da un fornitore, dai suoi prodotti e servizi e da altre terze parti sono compresi, registrati, prioritizzati, valutati, trattati e monitorati nel corso della relazione.
Requisiti
I requisiti sono identici per soggetti importanti ed essenziali.
- p.1Nell’ambito della valutazione del rischio di cui alla misura ID.RA-05, è valutato e documentato il rischio associato alle forniture. A tal fine, sono valutati almeno: a) il livello di accesso del fornitore ai sistemi informativi e di rete del soggetto NIS; b) l'accesso del fornitore alla proprietà intellettuale e ai dati anche sulla base della loro criticità; c) l'impatto di una grave interruzione della fornitura; d) i tempi e i costi di ripristino in caso di indisponibilità dei servizi; e) i ruoli e le responsabilità del fornitore nel governo dei sistemi informativi e di rete.
- p.2È verificata periodicamente e documentata la conformità delle forniture ai requisiti di cui alla misura GV.SC-05.
Evidenze tipiche
- Valutazione del rischio delle forniture
- Esiti delle verifiche periodiche
Domande frequenti su GV.SC-07
Cosa chiede la misura GV.SC-07?
Valutare il rischio di ogni fornitura e controllare nel tempo che i requisiti siano rispettati. Il testo ufficiale è: «I rischi posti da un fornitore, dai suoi prodotti e servizi e da altre terze parti sono compresi, registrati, prioritizzati, valutati, trattati e monitorati nel corso della relazione.»
La misura GV.SC-07 vale per i soggetti importanti?
Sì: per i soggetti importanti prevede 2 requisiti, per gli essenziali 2.
Quali evidenze servono per dimostrare GV.SC-07?
Tipicamente: Valutazione del rischio delle forniture; Esiti delle verifiche periodiche. I documenti non vanno caricati sul portale ACN, ma devono essere pronti in caso di verifica.
GV.SC-07 richiede l'approvazione degli organi di amministrazione?
Non direttamente: nessun requisito di GV.SC-07 prevede un'approvazione specifica degli organi, che restano comunque responsabili dell'attuazione delle misure (art. 23).
La categoria GV.SC: Gestione del rischio di cybersecurity della catena di approvvigionamento
I processi di gestione del rischio di cybersecurity della catena di approvvigionamento sono identificati, stabiliti, gestiti, monitorati e migliorati dagli stakeholder dell'organizzazione.
Altre misure della stessa categoria:
- GV.SC-01: Sicurezza negli acquisti e nelle forniture
- GV.SC-02: Ruoli di sicurezza dei fornitori
- GV.SC-04: Inventario dei fornitori
- GV.SC-05: Clausole di sicurezza nei contratti
Descrizione e requisiti riportano il testo degli Allegati 1 e 2 della Det. ACN 379907/2025. La spiegazione e le evidenze tipiche sono testi editoriali non ufficiali.