Schede tipizzate, hash SHA-256 di integrità, scansione antivirus, mapping al controllo NIS2 o ISO, retention configurabile, audit trail su ogni accesso. Tutto su server in UE — i tuoi documenti non escono dall'Europa.
In tante PMI italiane le prove di compliance vivono in tre posti diversi: una cartella SharePoint (le policy adottate), una casella email (i DPA firmati con i fornitori), una stampa in ufficio (il verbale del comitato sicurezza). Quando arriva l'audit, qualcuno passa una settimana a metterle in ordine — e spesso ne manca la metà.
Il Vault Evidenze risolve questo problema in modo specifico: ogni prova ha una scheda dedicata, con tipo (documento vigente o report periodico), retention, mapping al controllo NIS2/ISO che copre, e firma di integrità. Niente cartelle libere, niente file omonimi che si sovrascrivono, niente perdite per turn-over.
Alla prima attivazione di Comprova, il Vault arriva già pre-configurato con 24 schede evidenza che coprono i controlli NIS2 Art. 21 più frequenti. Tu carichi i tuoi documenti dove ti chiedono di metterli — il sistema sa cosa farne.
La scelta del tipo di scheda non è cosmetica. Cambia come il sistema tratta versioni, scadenze e cronologia, e cambia cosa l'auditor vede quando apre la scheda in revisione.
Per documenti che esistono in una sola copia 'attualmente in vigore' ma cambiano nel tempo. Il sistema tiene la versione corrente e tutto lo storico delle precedenti.
Esempio: la Policy di sicurezza informatica. C'è la versione 2.4 attiva, le precedenti 2.3, 2.2, 2.1, 2.0 nello storico. L'auditor vede subito quale è in vigore oggi e quando è stata l'ultima revisione.
Snapshot immutabile a ogni adozione/revisione.
Per evidenze che si ripetono nel tempo, ognuna autonoma e datata: test, esercitazioni, scansioni, audit. Non c'è 'la versione corrente' — c'è una timeline.
Esempio: i rapporti di test backup trimestrale. Ne esistono uno per ogni trimestre, ognuno con la sua data, il suo esito, le sue azioni correttive. L'auditor scorre la timeline e vede la cronologia degli esercizi.
Aggiunta cronologica con cadenza configurabile (mensile, trimestrale, annuale).
Non devi creare nulla di nuovo: i documenti che già firmi, generi e ricevi entrano nel Vault sotto la scheda corretta. Quattro macro-categorie coprono il 90% di quello che un auditor NIS2 ti chiede.
Tecniche operative
Contrattuali e legali
Persone e formazione
Governance e processo
Sei passi automatici. Tu fai il primo: trascini il file. Il resto avviene in background, e l'evidenza è pronta per l'audit prima ancora che tu chiuda la scheda.
Step 1
Drag&drop nel Vault. Scegli la scheda evidenza (es. EV-101 'Log abilitazione MFA'), il sistema sa già a quale controllo NIS2 mappare e quale retention applicare. Tipi accettati: PDF, DOCX, XLSX, immagini, log testuali. Cap per file 50 MB.
Step 2
Il file resta in quarantena finché la scansione non lo dichiara CLEAN. Se INFECTED viene bloccato e l'amministratore notificato. Niente upload silenziosi di malware nel Vault.
Step 3
L'hash di integrità viene calcolato e firmato. Da quel momento qualsiasi modifica al file produce un hash diverso, e quindi è rilevabile. È quello che porti in audit per dire 'questo documento è esattamente quello che abbiamo caricato il giorno X'.
Step 4
L'evidenza è collegata al controllo NIS2 (Art. 21 a-j) o ISO Annex A che copre. Il Cruscotto aggiorna lo score di copertura. Se la scheda copre più controlli — es. un piano BC che copre Art. 21.c e Annex A.5.30 — il mapping è multiplo.
Step 5
Ogni scheda ha una scadenza naturale (es. test backup ogni 90 giorni, polizza annuale, DPA biennale). Il sistema notifica chi è responsabile prima della scadenza. Niente evidenze che invecchiano in silenzio.
Step 6
Chi ha caricato, modificato, scaricato, aperto in preview — tutto entra nell'audit trail concatenato (hash chain), tracciabile per data e utente. È quello che chiede un Lead Auditor quando vuole capire la tenuta del processo, non solo dei documenti.
Ogni scheda evidenza dichiara quale controllo NIS2 (Art. 21 a-j) o ISO 27001 (Annex A) copre. Quando carichi il file, la copertura sale: il Cruscotto mostra in tempo reale quale percentuale dell'Art. 21 è coperta, quali controlli sono ancora scoperti, quali evidenze stanno per scadere.
Il sovrapposto è gestito: una stessa evidenza — per esempio la policy di Business Continuity — può coprire Art. 21.c (gestione della continuità) e ISO Annex A.5.30 (ICT readiness for business continuity) contemporaneamente. Non duplichi il file: lo carichi una volta, copre due norme.
Quando attivi un secondo framework (oggi NIS2, domani ISO 27001), la copertura ereditata salta da subito al 70-80% senza ricaricare nulla. È il vero senso del Vault: archivio condiviso, mapping multipli.
Non si compra da solo: viene insieme a Policy, Rischi, Incidenti, Fornitori, Audit Pack e Cruscotto, nella Piattaforma completa. Se stai valutando solo l'obbligo formativo, il prodotto giusto è Comprova Formazione. Se invece hai bisogno di costruire il dossier di compliance completo, parliamone in call.