Che cos'è il passaporto cyber NormaNexo e come viene verificato
Il passaporto poggia su una misura di sicurezza fissata per legge e su un elenco di ambiti che quella misura enumera. Questa pagina dice quali ambiti il documento copre, quali lascia fuori e per quale motivo.
Che valore ha questo documento
Il passaporto è una valutazione strutturata su un elenco di controlli fisso, lo stesso per ogni fornitore che risponde su quella versione: il fornitore risponde, allega le evidenze che possiede e un amministratore della società firma il risultato. Ogni documento porta la data di emissione, la versione dello standard con cui è stato compilato, la banda di copertura raggiunta e una scadenza a dodici mesi.
Che cosa garantisce questo documento
La piattaforma garantisce due cose: che il contenuto non è stato alterato dopo la firma, e che ogni controllo è legato alla misura di legge da cui deriva, con la copertura dichiarata nella tabella qui sotto.
Della veridicità delle risposte risponde chi ha firmato per la società. Nei documenti di livello verificato risponde anche il partner che ha affiancato la compilazione, che compare per nome.
I due livelli di verifica
- Autodichiarato: il fornitore ha compilato da solo. Il documento non indica nessun verificatore, e sulla pagina di verifica si legge così.
- Verificato: un partner della rete ha affiancato la compilazione e compare per nome sul documento. È lui a rispondere di quella verifica.
Come si legge la copertura
La copertura è una percentuale pesata sui controlli della versione in vigore: una risposta con evidenza allegata pesa il doppio di una dichiarata senza, una risposta negativa e una ancora da accertare non pesano. La percentuale porta con sé una banda, e accanto alla banda c'è sempre chi ha verificato il documento, o la dichiarazione che nessuno lo ha verificato.
- Inizialesotto il 50%
- Solidadal 50 al 74%
- Avanzatadal 75 all'89%
- Esemplaredal 90% in su
Sui documenti la banda è questo segno, sempre dentro la frase che dice chi ha verificato: un esagono che si riempie di uno strato per ogni banda raggiunta. Il bordo è continuo quando un partner ha verificato il documento e tratteggiato quando il fornitore lo ha compilato da solo.
Di ogni documento emesso conserviamo l'impronta SHA-256 del file consegnato. La pagina di verifica la mostra, così chi riceve il PDF può ricalcolarla e accorgersi se il file è stato modificato.
Da dove vengono i controlli
Le domande sulla catena di fornitura si ricavano dalle misure di sicurezza di base che l'Agenzia per la cybersicurezza nazionale ha fissato per chi rientra nella NIS2. Le misure sono due elenchi, uno per ciascun tipo di soggetto, e sulla catena di fornitura differiscono in un punto solo: i 17 ambiti della misura GV.SC-01, punto 2, compaiono soltanto nell'elenco dei soggetti essenziali.
- Le pratiche del fornitore: i 17 ambiti di GV.SC-01, punto 2, dalla gestione degli accessi alla dismissione della fornitura. Sono le stesse per tutti i clienti, ed è su queste che risponde il passaporto. Determinazione ACN n. 379907/2025Allegato 2 (si apre in una nuova scheda)
- Il rapporto con il singolo cliente: i 5 elementi di GV.SC-07, punto 1, e i 2 dati di GV.SC-04. Sono la valutazione del rischio di ogni fornitura e il registro dei fornitori, che il committente tiene per sé usando il passaporto come base. Determinazione ACN n. 379907/2025Allegato 1 (si apre in una nuova scheda)Allegato 2 (si apre in una nuova scheda)
Gli obblighi sono dei committenti che rientrano nella NIS2, non dei loro fornitori. Il passaporto contiene i controlli dei 17 ambiti, e ogni controllo dice al fornitore quale tipo di committente è tenuto a chiederglielo.
Che cosa contiene la versione in vigore
Il passaporto ha un ambito per ciascuna norma. Ogni ambito porta la sua norma accanto al nome e un numero fisso di controlli, uguale per tutti i fornitori che rispondono su quella versione.
Nessuna versione dello standard è ancora pubblicata. Quando lo sarà, gli ambiti e il rapporto di copertura compariranno qui.
Che cosa copre e che cosa lascia fuori
L'ambito della catena di fornitura nasce dalle misure del Framework Nazionale, così come richiamate dalla determinazione ACN sugli obblighi di base. Quelle misure enumerano 24 ambiti: 17 riguardano le pratiche del fornitore, 7 il rapporto fra il committente e la singola fornitura.
Il rapporto di copertura sarà consultabile quando una versione sarà pubblicata.
Registro delle versioni
Una versione pubblicata non si modifica più: una correzione è una versione nuova. Un passaporto resta valido nella versione con cui è stato emesso fino alla scadenza, anche quando ne esce una successiva.
Il registro sarà popolato con la prima versione pubblicata.
Chi valida i controlli
Il testo di ogni controllo è scritto da una persona, riletto da una seconda e pubblicato da un amministratore della piattaforma. Nessuna fonte esterna scrive direttamente nello standard: le pubblicazioni normative generano una segnalazione, che viene classificata e lavorata in redazione.
Il passaporto sostituisce il questionario che mando ai fornitori?
Nella maggior parte dei casi risponde alle stesse domande, perché i controlli derivano dalle misure sulla catena di fornitura previste per i soggetti in perimetro. Se hai requisiti ulteriori, li aggiungi al documento invece di ripartire da zero.
Come faccio a sapere che il documento non è stato modificato?
Ogni documento ha una pagina di verifica con un indirizzo proprio e mostra l'impronta SHA-256 del PDF emesso. Se il file che hai ricevuto ha la stessa impronta, è quello firmato.
Quanto vale una risposta senza evidenza allegata?
Meno: una risposta con evidenza allegata pesa il doppio di una dichiarata senza, mentre una risposta negativa o ancora da accertare non pesa. Sul documento finisce la copertura calcolata così, non le risposte una per una.
Quanto dura e che cosa succede quando cambia lo standard?
Dodici mesi dalla data di emissione. Una nuova versione dello standard non invalida i documenti già emessi: valgono fino alla scadenza naturale nella versione con cui sono stati compilati.
Hai ricevuto un passaporto da verificare?
Apri la pagina di verifica con il collegamento che ti è stato dato. Prima, se ti serve, vedi che cosa quella pagina riporta e che cosa devi chiedere al fornitore.
Che cosa puoi controllare, da committenteGli ambiti del passaporto NormaNexo, la norma da cui nasce ciascuno, il rapporto di copertura con le esclusioni motivate e il registro delle versioni. Consultabile.