%20--%3e%3cdefs%3e%3cstyle%3e%20.st0%20{%20fill:%20%23181818;%20}%20%3c/style%3e%3c/defs%3e%3cg%3e%3cpath%20class='st0'%20d='M51.5,78.7c-32.5,0-37.9,5.4-37.9,14.5s5.4,10.8,13.6,10.8c14.5,0,24.4-9.9,24.4-19v-6.3ZM51.5,106.7c-1.8,2-3.9,3.7-6.1,5.1-5.5,3.4-11.8,5.1-18.3,4.9-16.3,0-27.1-10.8-27.1-24.4s10.8-26.2,51.5-26.2v-4.5c0-8.1-7-15.4-17.2-15.4s-14.3,4.5-16.3,11.7H3.7c2-13.6,12.7-24.4,30.7-24.4s30.7,12.8,30.7,28v54.3h-9.9l-3.6-9.1Z'/%3e%3cpath%20class='st0'%20d='M83.2,34.4h9.9l3.6,9c1.8-1.9,3.8-3.6,6-4.9,5.2-3.4,11.3-5.2,17.5-5.1h1.8v13.6h-3.6c-12.8,0-21.7,8.8-21.7,22.6v46.1h-13.6V34.4Z'/%3e%3cpath%20class='st0'%20d='M200.6,86.8c-3.8,16.4-17.2,29.8-35.2,29.8s-37.9-17.2-37.9-41.6,17-41.6,37.9-41.6,31.4,13.4,35.2,29.8h-13.6c-2.9-9-11-17.2-21.7-17.2s-24.4,11.6-24.4,28.9,11.8,28.9,24.4,28.9,18.8-8.1,21.7-17.2h13.6Z'/%3e%3cpath%20class='st0'%20d='M214.2,1.9h13.6v42.5c1.7-2.1,3.7-3.9,6-5.4,5.2-3.5,11.3-5.4,17.5-5.4,17.2,0,31.7,14.5,31.7,35.2v47h-13.6v-47c0-13.6-9.2-22.6-19.9-22.6s-21.7,8.8-21.7,22.6v47h-13.6V1.9Z'/%3e%3cpath%20class='st0'%20d='M300.9,34.5h13.6v81.3h-13.6V34.5ZM307.6,2.8c4.7,0,8.6,3.8,8.6,8.6s-3.8,8.6-8.6,8.6-8.6-3.8-8.6-8.6,3.8-8.6,8.6-8.6'/%3e%3c/g%3e%3cpolygon%20class='st0'%20points='323.5%2034.4%20338%2034.4%20362.3%2096.8%20386.8%2034.4%20401.2%2034.4%20368.7%20115.8%20356%20115.8%20323.5%2034.4'/%3e%3cg%3e%3cpath%20class='st0'%20d='M458.1,78.7c-32.5,0-38,5.4-38,14.5s5.4,10.8,13.6,10.8c14.5,0,24.4-9.9,24.4-19v-6.3ZM458.1,106.7c-1.8,2-3.9,3.7-6.1,5.1-5.5,3.4-11.8,5.1-18.2,4.9-16.3,0-27.1-10.8-27.1-24.4s10.9-26.2,51.5-26.2v-4.5c0-8.1-7.1-15.4-17.2-15.4s-14.3,4.5-16.3,11.7h-14.4c2-13.6,12.6-24.4,30.7-24.4s30.7,12.8,30.7,28v54.3h-9.9l-3.6-9.1Z'/%3e%3cpath%20class='st0'%20d='M549.4,74.2c0-17.4-13.6-30.7-28-30.7s-28,13.4-28,30.7,13.6,30.7,28,30.7,28-13.4,28-30.7M497.9,122.1c3.6,9.2,10.8,16.3,25.3,16.3,13.6.3,25-10.5,25.3-24.1,0-.4,0-.8,0-1.2v-14.5h-.9c-1.9,2.7-4.2,5.1-6.7,7.2-5.5,4.6-12.4,7.2-19.5,7.2-19.7,0-36.2-17.2-36.2-38.8s16.4-38.9,36.2-38.9c7.2,0,14.1,2.6,19.5,7.2,2.5,2.1,4.7,4.5,6.7,7.2h.9l2.7-13.6h5.4v76.9c.4,18.1-14,33.1-32.2,33.4-.4,0-.8,0-1.3,0-19.6,0-30.9-10.8-34.3-24.4h9Z'/%3e%3cpath%20class='st0'%20d='M577.4,36.2h5.4l2.7,11.8h.9c1.6-2.4,3.5-4.5,5.8-6.3,5.6-4.2,12.5-6.5,19.5-6.3h3.6v8.1h-4.5c-15.4,0-25.3,9.8-25.3,26.2v46.1h-8.1V36.2Z'/%3e%3cpath%20class='st0'%20d='M658.9,43.5c-15.4,0-28.9,13.7-28.9,32.5s13.6,32.5,28.9,32.5,28.9-13.7,28.9-32.5-13.6-32.5-28.9-32.5M658.9,35.3c20.8,0,37.1,17.2,37.1,40.7s-16.3,40.7-37.1,40.7-37-17.2-37-40.7,16.3-40.7,37-40.7'/%3e%3cpath%20class='st0'%20d='M711.3,36.2h8.1v47c0,14.5,10.8,25.4,24.4,25.4,13.6.3,25-10.5,25.3-24.1,0-.4,0-.8,0-1.2v-47h8.1v79.5h-5.4l-2.7-11.7h-.9c-1.7,2.4-3.7,4.5-6,6.3-4.2,3.4-10.1,6.3-19.3,6.3-18.1,0-31.7-13.7-31.7-33.4v-47Z'/%3e%3cpath%20class='st0'%20d='M863.2,75.9c0-18.8-13.6-32.5-28.9-32.5s-29,13.9-29,32.6,13.6,32.5,28.9,32.5,28.9-13.7,28.9-32.5h0ZM798.1,36.2h5.4l2.7,13.6h.9c6.1-9,16.3-14.4,27.1-14.5,20.8,0,37,17.2,37,40.7s-16.3,40.7-37,40.7c-7.4,0-14.7-2.5-20.4-7.2-2.6-2-4.8-4.5-6.7-7.2h-.9v42.5h-8.2V36.2Z'/%3e%3c/g%3e%3cpolygon%20class='st0'%20points='869%202.6%20861.8%202.6%20861.8%200%20879.2%200%20879.2%202.6%20872%202.6%20872%2023.7%20869%2023.7%20869%202.6'/%3e%3cpolygon%20class='st0'%20points='881.8%200%20884.3%200%20893.1%2019%20902%200%20904.4%200%20904.4%2023.7%20901.4%2023.7%20901.4%207.7%20894.1%2023.7%20892.2%2023.7%20884.9%207.7%20884.9%2023.7%20881.8%2023.7%20881.8%200'/%3e%3c/svg%3e)
Fornitori ICT, partner tecnologici, outsourcer, consulenti e operatori esterni possono avere accesso a dati, sistemi e processi essenziali per il funzionamento dell’organizzazione.
La capacità di identificare, valutare e monitorare questi soggetti rappresenta oggi una componente fondamentale della governance aziendale.
Per questo motivo la NIS2 richiede alle organizzazioni di adottare misure adeguate per comprendere e gestire i rischi derivanti dalla propria catena di fornitura.
Cosa richiede la direttiva NIS2
La normativa non impone semplicemente la raccolta di documentazione o l’esecuzione di controlli periodici. Richiede la capacità di dimostrare l’esistenza di un processo strutturato per:
- identificare i fornitori critici
- classificare il livello di rischio
- raccogliere informazioni e documentazione
- verificare il mantenimento dei requisiti nel tempo
- monitorare vulnerabilità e criticità
- gestire azioni correttive e remediation
- conservare le evidenze prodotte.
L’obiettivo è costruire un modello di governance continuo e non una verifica occasionale.
Oltre la compliance documentale
Oltre la compliance documentale
Questionari, certificazioni e policy rappresentano un elemento importante del processo di valutazione, ma da soli non sono sufficienti.
Una gestione efficace della supply chain richiede di integrare: informazioni dichiarate dai fornitori, verifiche e assessment periodici, controlli operativi, monitoraggio delle azioni correttive, raccolta e conservazione delle evidenze.
La compliance diventa così un processo continuo basato su informazioni aggiornate e verificabili.
Dalla dichiarazione all’evidenza
Uno degli aspetti più rilevanti della governance della supply chain consiste nella capacità di trasformare le informazioni raccolte in evidenze oggettive.
Le organizzazioni devono poter dimostrare non solo ciò che i fornitori dichiarano, ma anche le attività di verifica effettuate, le eventuali criticità rilevate e le azioni intraprese per ridurre il rischio.
La disponibilità di evidenze strutturate e facilmente reperibili rappresenta un elemento essenziale per affrontare audit, verifiche e richieste ispettive.
NIS2: gestione dei fornitori
Scopri l'impatto della direttiva NIS2 sulla gestione dei fornitori: dal censimento e classificazione del rischio, alla raccolta di documenti e certificazioni, fino al monitoraggio delle scadenze e alla tracciabilità end-to-end attraverso il Portale Fornitori.
Le principali sfide
Comprendere quali soggetti rappresentano un elemento rilevante per la continuità operativa e la sicurezza dell’organizzazione.
Un approccio integrato
La compliance NIS2 richiede un approccio integrato che combina gestione dei fornitori, attività di verifica e governance documentale. Per questo motivo Archiva supporta le organizzazioni attraverso capability complementari che consentono di affrontare il tema in modo strutturato.