Indice di lettura
Un file 00-LEGGIMI con la copertura NIS2 per articolo e l'elenco delle prove, con data e impronta. È il documento che l'auditor legge per primo: cosa hai coperto, cosa manca, dove cercare.
Prodotto · Audit Pack
Un click, uno ZIP con le prove, impronte verificabili.
Genera il dossier per l'audit: indice di copertura NIS2, prove per scheda, registri CSV e manifest con l'impronta SHA-256 di ogni file. L'auditor verifica offline con uno script, senza entrare in Comprova.
§01 · Anatomia di un Audit Packcosa contiene
Quattro parti, un solo download.
Un Audit Pack è un singolo ZIP, ma dentro contiene quattro cose che lavorano insieme: un indice leggibile, le cartelle delle prove, i registri CSV e un manifest con le impronte. L'auditor le trova tutte, già compatibili con i suoi strumenti.
Cartelle delle prove
Tutti i file attivi caricati nelle Prove, in una cartella per scheda, identici byte per byte agli originali. Le policy adottate sono incluse.
Registri CSV
Formazione, incidenti, policy e rischi in file CSV che si aprono in Excel. Nel registro incidenti ci sono anche le date di firma e di trasmissione all'ACN di ogni notifica.
Manifest e script di verifica
Un file manifest.json con l'impronta SHA-256 di ogni file dello ZIP, più gli script verify.py e verify.js per ricalcolarle. Se un file viene alterato dopo la generazione, l'impronta non torna. Il manifest non è firmato digitalmente: la verifica dice se i file sono cambiati, non chi li ha prodotti.
§02 · Genera in un clickdalle Prove allo ZIP
Tre passi, dal pulsante alla consegna.
Niente compilazione manuale del dossier, niente upload separati, niente formattazione di Word. Il sistema costruisce il pacchetto partendo dalle Prove che hai già caricato.
- Step 1Passo 1
Apri Audit Pack e controlla cosa manca
La pagina Audit Pack ti mostra cosa manca prima di esportare. Niente compilazione manuale, niente upload separati: il sistema parte dalle Prove che hai già caricato.
- Step 2Passo 2
Scarichi lo ZIP
Un clic e lo ZIP si scarica: indice, prove, registri CSV, manifest con le impronte SHA-256 e gli script di verifica. Solo l'Amministratore può generarlo.
- Step 3Passo 3
Lo verifichi e lo consegni
Prima di consegnarlo puoi lanciare lo script di verifica sul tuo computer. Poi lo mandi all'auditor con i canali che usi già.
§03 · Verifica off-lineimpronte SHA-256 ricalcolabili
Si verifica anche senza la piattaforma.
La differenza tra un Audit Pack Comprova e una cartella zippata qualunque è una sola: il pacchetto include un manifest con l'impronta SHA-256 di ogni file, calcolata al momento della generazione.
L'auditor — chiunque sia, anche il commercialista, anche tu stesso fra due anni — può verificarne l'integrità senza bisogno di accedere a Comprova. Nello ZIP trova due script (verify.py e verify.js) che ricalcolano l'impronta di ogni file e la confrontano con il manifest.
Se un'impronta non torna, l'auditor sa che un file è stato modificato dopo l'esportazione. Se tornano tutte, i file sono quelli che hai esportato. Il manifest non è firmato digitalmente: la verifica rileva le modifiche ai file, non attesta chi li ha prodotti.
§04 · Consegna all'auditorZIP o accesso in sola lettura
L'auditor riceve solo quello che gli serve.
Hai due strade. La prima: scarichi lo ZIP e lo consegni con i canali che usi già, lasciando che l'auditor lo verifichi offline. La seconda: l'Amministratore invita un Auditor esterno a tempo, con accesso in sola lettura alle Prove.
Un link a tempo dedicato al solo Audit Pack, il watermark con il nome dell'auditor e il tracciamento degli accessi al file non sono ancora disponibili: sono in programma, senza una data fissata.
§05 · Casi d'usoquattro tipi di audit
Lo stesso strumento, quattro situazioni diverse.
Audit non è una parola sola: dipende da chi te lo chiede e perché. Lo stesso ZIP serve in tutti questi casi: cambia quello che decidi di consegnare.
Audit interno di prima parte
Prima di una certificazione ti prepari con un audit interno. Esporti l'Audit Pack e lo passi a chi conduce l'audit: lavora offline, verifica le impronte e restituisce il rapporto.
Per chi · PMI che vogliono prepararsi seriamente prima della certificazione.
Audit di certificazione (terza parte)
Arriva l'ente accreditato (DNV, BSI, RINA) per la certificazione ISO 27001. L'auditor ti chiede l'evidenza per ogni controllo. Consegni l'Audit Pack con le prove già ordinate per scheda.
Per chi · Aziende già strutturate, vicine alla certificazione.
Controllo di vigilanza
L'autorità ti chiede di documentare le misure adottate. Consegni l'Audit Pack con la copertura per articolo e i registri di incidenti e formazione. Le impronte SHA-256 mostrano che i file non sono stati modificati dopo l'esportazione.
Per chi · Soggetti essenziali e importanti NIS2.
Risposta a questionario di filiera
Un cliente importante chiede ai suoi fornitori di dimostrare le misure adottate. Esporti l'Audit Pack e ne consegni le parti che il cliente ha chiesto.
Per chi · Fornitori sotto pressione di filiera.
§06 · Domande frequenti
Quello che ci chiedono di solito.
- Cosa c'è dentro uno ZIP?
- L'indice 00-LEGGIMI, una cartella per ogni scheda di prova, i registri CSV (formazione, incidenti, policy, rischi), il manifest con le impronte SHA-256 e gli script di verifica verify.py e verify.js. Non c'è un PDF riassuntivo.
- Quante volte posso generare un Audit Pack?
- Quando serve: ogni esportazione fotografa lo stato di quel momento. Tipicamente si genera uno ZIP per ogni audit, questionario o ispezione.
- Come fa l'auditor a verificare che non ho modificato nulla dopo?
- Lancia lo script incluso (verify.py o verify.js) sullo ZIP estratto: ricalcola l'impronta SHA-256 di ogni file e la confronta con il manifest. Funziona offline, senza accedere a Comprova. Il manifest non è firmato digitalmente: se qualcuno modificasse sia un file sia il manifest, lo script non lo rileverebbe. Per questo, se serve una garanzia in più, conserva l'impronta del manifest in un canale separato.
- L'auditor può accedere a Comprova?
- Sì, se vuoi: l'Amministratore può invitare un Auditor esterno a tempo, con accesso in sola lettura. In alternativa gli consegni lo ZIP. Link a tempo per il solo Audit Pack, watermark e tracciamento degli accessi al file non sono ancora disponibili.
- Chi può generare l'Audit Pack?
- Solo l'Amministratore. Il Responsabile conformità e gli altri ruoli non hanno il pulsante di esportazione.
- Cosa succede se non rinnovo?
- Gli Audit Pack già scaricati restano tuoi: sono file sul tuo computer. Alla scadenza del contratto hai 30 giorni per scaricare quello che non avessi già scaricato; su richiesta, export di tutte le prove entro 30 giorni, senza costi. Nessun lock-in.
L'Audit Pack è il momento in cui Comprova prova il suo valore.
Tutto quello che fai negli altri moduli — caricare evidenze, adottare policy, registrare incidenti, formare i dipendenti — converge qui. Quando arriva l'ispettore, l'auditor o il cliente importante, l'Audit Pack è già pronto.