comprova
Prodotto · Fornitori

DPA, criticità, questionari di filiera.

Anagrafica fornitori con criticità alta, media o bassa e checklist Contratto / Questionario / DPA con scadenze. Per il fornitore che riceve richieste dai clienti e per il cliente NIS2 che deve tenere in ordine la propria filiera.

§01 · Cosa chiede l'art. 24sicurezza supply chain

La sicurezza dipende dai tuoi fornitori, non solo da te.

L'art. 24, comma 2, lettera d) del D.Lgs. 138/2024 prescrive misure relative alla "sicurezza della catena di approvvigionamento", compresi i rapporti tra ciascun soggetto e i suoi fornitori diretti. Per le PMI è spesso il punto in cui la NIS2 arriva per via contrattuale, con le richieste dei clienti.

Tradotto: chi è soggetto NIS2 deve dimostrare di sapere quali fornitori critici ha, di aver firmato con loro le clausole giuste, di averli classificati per criticità, e — quando serve — di averli verificati con audit o questionari. Per il fornitore non direttamente soggetto alla NIS2, lo stesso si rovescia: deve essere pronto a rispondere a quei questionari quando arrivano.

Il modulo Fornitori di Comprova lavora in entrambe le direzioni: ti aiuta a tenere in ordine i tuoi fornitori e, con le Prove e l'Audit Pack, a rispondere alle richieste dei tuoi clienti.

§02 · Due casi d'usoricevi e gestisci richieste di filiera

Lo stesso modulo, per chi riceve richieste e per chi le fa.

Il movimento della filiera è bidirezionale: la tua azienda riceve richieste da clienti più grandi e ne fa ai propri fornitori. Comprova ti aiuta in entrambi i casi.

Sei un fornitore

Un cliente importante NIS2 ti manda un questionario di sicurezza (spesso un file Excel di decine di domande, con scadenza a 30 giorni) chiedendo prove delle tue misure. Tradizionalmente lavorano due persone per due settimane: rispondi a tutto, alleghi documenti, mandi per PEC.

Con Comprova: le prove (policy, formazione, registri) sono già in Comprova, ordinate per area, datate e con impronta SHA-256, e l'Audit Pack le esporta in un clic. Le risposte al questionario le compili tu, con le prove sotto mano.

Sei un cliente importante NIS2

Hai decine di fornitori rilevanti per la tua operatività e l'art. 24 del D.Lgs. 138/2024 ti chiede di valutarne il rischio e di inserire requisiti di sicurezza nei contratti. Tenere traccia di chi ha firmato cosa, e quando scade, in file sparsi è un lavoro a tempo pieno.

Con Comprova: una scheda per ogni fornitore, con criticità alta, media o bassa e la checklist di Contratto, Questionario e DPA, con le scadenze. Quando un documento manca o sta per scadere, lo vedi subito. Comprova non invia questionari ai fornitori: li ricevi e li archivi tu.

§03 · Il flusso completodall'anagrafica alle prove

Quattro passi dall'apertura della scheda fornitore al dossier d'audit.

La gestione della filiera non è un'attività una tantum: è un ciclo che si ripete con frequenza diversa in base alla criticità. Ogni documento caricato resta nella scheda del fornitore, con data e impronta.

  1. Passo 1

    Anagrafica del fornitore

    Apri la scheda fornitore: ragione sociale, P.IVA, tipo di servizio, referente, se tratta dati personali. Niente di rivoluzionario: è il punto di partenza per costruirci sopra le scadenze.

  2. Passo 2

    Classificazione di criticità

    Per ogni fornitore: criticità alta, media o bassa, in base all'impatto sulla tua operatività, all'accesso a dati sensibili e alla sostituibilità. Ti dice dove guardare per primo.

  3. Passo 3

    Contratto, Questionario, DPA

    Per ogni fornitore carichi il contratto con le clausole di sicurezza, il questionario compilato e il DPA firmato (se tratta dati personali), con la data di validità. La checklist ti mostra cosa manca e cosa è in scadenza, perché un DPA scaduto è una prova che salta in audit.

  4. Passo 4

    Impronta e archiviazione

    Ogni documento caricato riceve un'impronta SHA-256 e resta collegato alla scheda del fornitore, con data e autore del caricamento.

§04 · Audit di seconda partechi li conduce

Quando un questionario non basta.

A volte un fornitore critico è troppo grande, troppo complesso o troppo strategico per essere verificato solo via questionario scritto. Allora si va a fare un audit di filiera vero — quello che in gergo si chiama audit di seconda parte: il cliente (tu) verifica il fornitore.

L'audit di seconda parte lo conduce un auditor di tua scelta. Il fondatore di Comprova è Lead Auditor ISO 27001 e può seguire audit di prima e seconda parte su richiesta, ma non è un servizio promosso. Comprova mette ordine nelle prove, che si esportano con l'Audit Pack.

Il confine resta esplicito: la certificazione di terza parte (ISO 27001) la firma un ente accreditato (DNV, BSI, RINA), non Comprova.

§05 · Domande frequenti

Quello che ci chiedono di solito.

Cosa è un audit di seconda parte e cosa c'entra Comprova?
L'audit di seconda parte è quando un cliente verifica un fornitore della propria filiera. È diverso dall'audit di prima parte (l'azienda verifica se stessa) e dalla certificazione di terza parte (un ente accreditato come BSI certifica l'azienda). Comprova non esegue audit: raccoglie le prove e le esporta con l'Audit Pack, utile a chi li subisce e a chi li conduce.
Comprova invia i questionari ai miei fornitori?
No. Comprova archivia il questionario compilato che ricevi dal fornitore, insieme al contratto e al DPA, ma non lo invia e il fornitore non ha bisogno di un account.
Posso importare il questionario che mi ha mandato il mio cliente?
No: le risposte le compili tu nel formato del cliente. Comprova ti serve a tenere in ordine le prove da allegare e a esportarle con l'Audit Pack.
Posso esportare il quadro fornitori?
I documenti dei fornitori restano nella scheda di ciascuno. Nell'Audit Pack non c'è un registro CSV dei fornitori: per ora si esportano le prove, non l'elenco.
Cosa succede se un fornitore non mi manda il documento?
La checklist del fornitore mostra il documento mancante. Il sollecito al fornitore lo fai tu: Comprova traccia, non fa il commerciale.
Posso usare il modulo Fornitori senza fare verifiche attive?
Sì, è il caso più comune: anagrafica, criticità e scadenze di contratto e DPA. Niente è obbligatorio in nessuno dei due versi.

La filiera è dove la NIS2 ti tocca per primo.

Il modulo Fornitori è incluso nella Piattaforma completa. Per le PMI in pressione di filiera, è spesso il primo modulo che porta valore concreto: quando il cliente importante chiede le tue prove, sono già in ordine.

Chiedi un preventivoTorna agli otto moduli