chi nel nostro azienda può visualizzare o modificare il dossier della catena

Ruoli e diritti, non un unico account per tutti

Chi può visualizzare o modificare il fascicolo della catena è stabilito dalla stessa organizzazione: non si tratta di un ruolo normativo ma di un'impostazione nel sistema. In pratica funziona con ruoli: un amministratore che può modificare i campi e collegare le fonti, e colleghi che possono solo leggere o completare solo una parte specifica — ad esempio IT per le domande sulla sicurezza delle informazioni, e finanza per i dati sul fatturato. In questo modo non tutti devono avere accesso a tutto, e rimane chiaro chi ha inserito o confermato quale risposta.

Questa distinzione è paragonabile a quella che I servizi online dell'impresa soddisfano i requisiti di accessibilità? e altri componenti tecnici chiedono: non ogni dipendente ha abbastanza conoscenza per valutare una risposta. La stessa logica vale per campi sensibili come L'impresa utilizza sistemi di IA nell'ambito della sua fornitura di servizi? — è opportuno che la persona che conferma la risposta comprenda anche cosa richiede la domanda. Chi infine fa clic su "sì" o "no" in un questionario rimane una scelta dell'organizzazione stessa; il sistema registra solo chi l'ha fatto e quando.

Perché la distribuzione dei ruoli è rilevante in primo luogo

Questa classificazione non deriva da un articolo normativo specifico, ma dalla natura dei requisiti sottostanti stessi. Le dieci misure di cui all'articolo 21, paragrafo 2, della direttiva NIS2 menzionano esplicitamente il controllo dell'accesso come misura di gestione, e l'Allegato A della norma ISO/IEC 27001 lo sviluppa ulteriormente con controlli concreti su chi può visualizzare o modificare quali dati. Un fascicolo della catena contenente risposte a questo tipo di questionari rientra nella stessa logica: non perché la legge prescrive la piattaforma, ma perché i questionari stessi spesso chiedono come è regolato l'accesso ai dati aziendali. La distribuzione dei ruoli nel fascicolo è quindi un'applicazione pratica di quanto già richiesto in quei requisiti, non un obbligo separato.