Evidenze e fornitori
Checklist evidenze per audit, fornitori e OdV
Scegli lo scenario, segna i documenti già in mano e copia l’elenco di ciò che manca. È la lista che di solito vive in un foglio condiviso il giorno prima dell’audit.
Voci segnate in questo scenario 0%
Qualifica fornitore critico NIS2/DORA
Pre-audit ISO/IEC 27001
Privacy e nomine art. 28 GDPR
Verifica periodica OdV — Modello 231
Da richiedere
Elenco copiato
Strumento indicativo per preparare il lavoro di compliance. Non è una valutazione legale, una notifica alle autorità né una certificazione.
Quattro scenari, le stesse prove di base
Un auditor ISO/IEC 27001, un cliente NIS2, il DPO e l’OdV non chiedono lo stesso indice, ma cercano tutti una prova datata e un owner. La checklist separa quattro richieste tipiche senza duplicare il file se il documento è già buono per più fronti.
La percentuale non è un punteggio di conformità. Dice solo quanti elementi di quella lista sono segnati come presenti in questa sessione del browser. Nulla viene salvato sul server.
Cosa chiedere a un fornitore senza aprire un questionario infinito
Per un fornitore ICT critico bastano spesso: perimetro del servizio, contatti di incident response, ultimo test di ripristino, misura di accesso privilegiato, sede dei dati e flusso di sub-fornitura. Il resto si chiede se il rischio del servizio lo richiede.
Per il GDPR la nomina art. 28 va insieme alle istruzioni documentate e a una prova che il fornitore le applica, non solo alla firma del DPA.
Dalla spunta alla richiesta
Copia il testo delle voci aperte e invialo al owner o al fornitore con una data. Se la stessa richiesta torna ogni trimestre, è il segnale che il link sicuro con scadenza sostituisce l’email.
FAQ
La checklist sostituisce un audit ISO 27001?
No. Elenca prove che un pre-audit guarda spesso. Non copre tutto l’Annex A e non esprime una non conformità.
Quali documenti chiedere a un fornitore NIS2 o DORA?
Servizio coperto, contatti incident, backup e test, accessi privilegiati, sub-fornitori e ultima review contrattuale. Lo scenario “fornitore critico” li elenca uno per uno.
Le spunte restano salvate?
No. Restano nel browser finché la pagina è aperta. Per un registro durevole serve un sistema di evidenze, non questa pagina.
L’OdV usa la stessa lista del CISO?
In parte. L’OdV guarda protocolli, flussi di segnalazione e prove di esecuzione sui processi sensibili. Lo scenario 231 isola quelle voci.