Autore: Team Regula — Innovatek Srls
Audit dei fornitori NIS2: come funziona il wizard supply chain in Regula
La NIS2 chiede di gestire il rischio anche nella supply chain: non basta un elenco di fornitori in Excel. Serve classificare chi è critico, documentare l'audit, raccogliere evidenze e chiudere le non conformità — senza mescolare questo lavoro con l'autovalutazione ACN dell'organizzazione.
In Regula il percorso è un wizard operativo, collegato alle procedure NIS2 e al Framework ACN: anagrafica, criticità, audit, validazione, qualificazione e, solo dopo conferma dell'amministratore, eventuali proposte di aggiornamento sulle misure ACN.
Perché un wizard dedicato ai fornitori
L'autovalutazione ACN descrive la maturità dell'organizzazione. L'audit fornitore descrive un terzo: accesso ai sistemi, dati personali, sostituibilità, incidenti pregressi. Tenere i due mondi nello stesso tenant, ma in procedure distinte, evita di «alzare» una misura ACN solo perché un fornitore ha compilato un questionario.
Il modulo supply chain nasce proprio così: KPI su fornitori, audit in corso, NC aperte e proposte ACN, con un flusso guidato che il consulente o il responsabile cyber può ripetere nel tempo.
Il percorso in sei passi
Il wizard di gestione fornitori segue questa sequenza:
- Anagrafica: dati essenziali, contatti, tipologia (ordinario, IT/software, cloud/SaaS, accesso remoto, dati personali, servizio essenziale)
- Classificazione di criticità: questionario a 13 fattori (dati, accessi, sostituibilità, subfornitori, extra-SEE, incidenti). Si ottiene una classe proposta (basso → critico) con frequenza di riesame; resta possibile un override motivato
- Audit interno: questionario congelato dal modello (ordinario, IT-cloud, essenziale o approfondito), così l'assessment resta confrontabile
- Evidenze e validazione: score dichiarato vs validato, non conformità e azioni correttive
- Qualificazione: esito finale (qualificato, con osservazioni, con piano, con riserva, non qualificato) e attestato stampabile
- Proposte ACN: suggerimenti di aggiornamento maturità sulle misure collegate, mai applicati in automatico
Il fornitore compila dal portale, senza account Regula
Dalla scheda audit si invita un contatto con email. Il fornitore accede al portale con un codice monouso (OTP), risponde al questionario e carica le evidenze. Non serve un utente sulla piattaforma: il titolare e il consulente restano i soli a validare, chiudere le NC e decidere la qualifica.
I solleciti su scadenze audit, azioni correttive e riesami di criticità possono essere automatizzati, così il ciclo non dipende da reminder sparsi in casella di posta.
Nessun aggiornamento automatico delle misure ACN
Punto di governance: l'audit fornitore non modifica da solo il livello di maturità delle misure ACN. Solo un amministratore conferma o rifiuta una proposta in «Proposte ACN». Lo Score Globale e l'autovalutazione restano il quadro dell'organizzazione; l'audit supply chain è la prova sul terzo.
È lo stesso principio degli altri wizard NIS2 (inventario asset, incidenti/CSIRT, BCP/DR, governance, risk assessment, IAM, formazione, protezione dati, sicurezza piattaforme): assessment operativo collegato alle misure, con conferma esplicita prima di toccare la maturità.
Come vederlo in piattaforma
Il modulo è nel percorso NIS2/ACN: dashboard supply chain, anagrafica fornitori e elenco audit. Per il quadro prodotto vedi la landing software NIS2; per il metodo di assessment la guida all'autovalutazione e Score Globale.
Per una demo del wizard audit fornitori indica interesse NIS2 nel form contatti su regula.solutions.
Domande frequenti
- L'audit fornitore cambia da solo lo Score Globale?
- No. Genera al massimo proposte sulle misure ACN collegate. Solo un amministratore può confermarle. Lo score resta quello dell'autovalutazione organizzativa.
- Il fornitore deve avere un account Regula?
- No. Accede al portale con un codice OTP inviato via email, compila e allega evidenze senza registrarsi.
- Serve il profilo NIS2?
- Sì: il modulo supply chain è parte del percorso NIS2/ACN, distinto dal registro trattamenti GDPR e dalle nomine Art. 28.
Fonti e riferimenti
Approfondimenti
Vuoi vedere questi flussi nella piattaforma Regula?
Richiedi una demo o informazioni →