Una scheda per ogni area NIS2, impronta SHA-256 di integrità, scadenze e periodicità, registro delle attività. Tutto su server in UE: i tuoi documenti non escono dall'Europa.
In tante PMI italiane le prove di compliance vivono in tre posti diversi: una cartella SharePoint (le policy adottate), una casella email (i DPA firmati con i fornitori), una stampa in ufficio (il verbale del comitato sicurezza). Quando arriva l'audit, qualcuno passa una settimana a metterle in ordine — e spesso ne manca la metà.
Le Prove risolvono questo problema in modo specifico: ogni prova ha una scheda dedicata, con tipo (documento vigente o report periodico), scadenza, area NIS2 che copre, e impronta di integrità. Niente cartelle libere, niente file omonimi che si sovrascrivono, niente perdite per turn-over.
Alla prima attivazione di Comprova, le Prove arrivano già organizzate per area NIS2 con una scheda per ogni prova richiesta. Tu carichi i tuoi documenti dove ti chiedono di metterli — il sistema sa cosa farne.
La scelta del tipo di scheda non è cosmetica. Cambia come il sistema tratta versioni, scadenze e cronologia, e cambia cosa l'auditor vede quando apre la scheda in revisione.
Per documenti che esistono in una sola copia 'attualmente in vigore' ma cambiano nel tempo. Il sistema tiene la versione corrente e tutto lo storico delle precedenti.
Esempio: la policy di sicurezza. C'è la versione attiva e le precedenti nello storico. L'auditor vede subito quale è in vigore oggi e quando è stata l'ultima revisione.
Nuova versione a ogni revisione, storico conservato.
Per evidenze che si ripetono nel tempo, ognuna autonoma e datata: test, esercitazioni, scansioni, audit. Non c'è 'la versione corrente' — c'è una timeline.
Esempio: i rapporti di test backup trimestrale. Ne esistono uno per ogni trimestre, ognuno con la sua data, il suo esito, le sue azioni correttive. L'auditor scorre la timeline e vede la cronologia degli esercizi.
Aggiunta cronologica, con periodicità della scheda.
Non devi creare nulla di nuovo: i documenti che già firmi, generi e ricevi entrano in Comprova sotto la scheda corretta. Quattro macro-categorie coprono gran parte di quello che un auditor NIS2 ti chiede.
Tecniche operative
Contrattuali e legali
Persone e formazione
Governance e processo
Sei passi. Tu fai il primo: carichi il file. Il resto avviene in automatico, e la prova è pronta per l'audit prima ancora che tu chiuda la scheda.
Passo 1
Scegli l'area NIS2 e la scheda (per esempio «Log abilitazione MFA»): la scheda ti dice cosa serve, perché e ti dà un esempio. Carichi i formati più comuni (PDF, documenti Office, immagini, log di testo); il limite è 50 MB per file.
Passo 2
Estensioni a rischio bloccate, tipo di file verificato sul contenuto, nome ripulito.
Passo 3
L'impronta di integrità viene calcolata al caricamento. Da quel momento qualsiasi modifica al file produce un'impronta diversa, e quindi è rilevabile. È quello che porti in audit per dire 'questo documento è esattamente quello che abbiamo caricato il giorno X'.
Passo 4
La prova sta nell'area NIS2 a cui appartiene (le dieci aree dell'art. 24, c. 2 del D.Lgs. 138/2024, più «Altre prove»). Il Cruscotto aggiorna l'avanzamento per area.
Passo 5
Ogni scheda può avere una scadenza o una periodicità (per esempio test backup ogni trimestre, polizza annuale). La prova in scadenza compare tra le cose da fare. Niente prove che invecchiano in silenzio.
Passo 6
Chi ha caricato, sostituito o archiviato una prova entra nel registro delle attività, con data e utente. È quello che chiede un auditor quando vuole capire la tenuta del processo, non solo dei documenti.
Ogni scheda dichiara a quale area NIS2 appartiene (le dieci aree dell'art. 24, comma 2, del D.Lgs. 138/2024). Quando carichi il file, l'avanzamento sale: il Cruscotto mostra quali aree sono coperte, quali sono ancora scoperte e quali prove stanno per scadere.
Il Cruscotto non è un giudizio di conformità: dice quali prove hai caricato e quali mancano, non se l'azienda è conforme. Quella valutazione resta a te, al tuo consulente o all'ente che ti verifica.
Non si compra da solo: viene insieme a Policy, Rischi, Incidenti, Fornitori, Audit Pack e Cruscotto, nella Piattaforma completa. Se stai valutando solo l'obbligo formativo, il prodotto giusto è Comprova Formazione. Se invece hai bisogno di costruire il dossier di prove completo, parliamone in call.