{
  "_meta": {
    "template": "NIS2 base - Sicurezza catena di fornitura",
    "description": "Template predefinito mappato alle misure ACN GV.SC (Allegato 2, Determina 164179/2025) e all'Art. 21.2(d)/21.3 della Direttiva (UE) 2022/2555. Tutte le help_text citano fonti CERTE presenti in application/config/nis2_sources.php (slug: acn_specifiche_base_2025, nis2_directive). Le fonti ENISA/NIST NON sono usate finche' non vengono aggiunte al registro fonti e ingerite in KB.",
    "scoring": "yes=1.0 / partial=0.5 / no=0.0; scale_1_5 normalizzato (val-1)/4 (flag se <=2); number RTO flag se vuoto o oltre soglia per criticita; single/multi_choice non scorate ma generano flag se esposizione elevata. Output: score, risk_level, vulnerabilities[] (lista vuln_flag accesi) -> realizza Art. 21.3.",
    "high_criticality_note": "Le domande con high_criticality_only=true si mostrano solo a suppliers.criticality in (high, critical).",
    "source": "Prodotto da agente design 2026-05-31. Citazioni verbatim da docs/nis2/allegati_acn/Allegato2.txt (GV.SC, righe 111-189) e docs/nis2/Dir2022_2555_UE_NIS2_ITA.pdf.txt (Art.21)."
  },
  "questions": [
    { "order_index": 1, "code": "gvsc07_a_access_level", "text": "Qual e' il livello di accesso che la vostra fornitura richiede ai sistemi informativi e di rete del cliente?", "type": "single_choice", "options": ["nessun_accesso","accesso_applicativo_limitato","accesso_rete_segmentato","accesso_amministrativo_privilegiato"], "weight": 5, "required": true, "help_text": "ACN Allegato 2, GV.SC-07 §1.a: «il livello di accesso del fornitore ai sistemi informativi e di rete del soggetto NIS».", "nis2_ref": "GV.SC-07.a", "vuln_flag": "access_privileged_unmanaged", "high_criticality_only": false },
    { "order_index": 2, "code": "gvsc07_b_data_access", "text": "A quali tipologie di dati o proprieta' intellettuale del cliente avete accesso?", "type": "multi_choice", "options": ["nessun_dato","dati_aziendali_non_sensibili","dati_personali","dati_critici_o_segreti","proprieta_intellettuale"], "weight": 4, "required": true, "help_text": "ACN Allegato 2, GV.SC-07 §1.b: «l'accesso del fornitore alla proprieta' intellettuale e ai dati anche sulla base della loro criticita'».", "nis2_ref": "GV.SC-07.b", "vuln_flag": "sensitive_data_access", "high_criticality_only": false },
    { "order_index": 3, "code": "gvsc07_c_disruption_impact", "text": "Disponete di misure che limitano l'impatto sul cliente in caso di grave interruzione della vostra fornitura?", "type": "yes_no_partial", "options": null, "weight": 4, "required": true, "help_text": "ACN Allegato 2, GV.SC-07 §1.c: «l'impatto di una grave interruzione della fornitura».", "nis2_ref": "GV.SC-07.c", "vuln_flag": "no_continuity_for_client", "high_criticality_only": false },
    { "order_index": 4, "code": "gvsc07_d_rto", "text": "Qual e' il vostro RTO (Recovery Time Objective) dichiarato, in ore, per il ripristino del servizio in caso di indisponibilita'?", "type": "number", "options": null, "weight": 4, "required": true, "help_text": "ACN Allegato 2, GV.SC-07 §1.d: «i tempi e i costi di ripristino in caso di indisponibilita' dei servizi». [Interpretazione del prodotto: GV.SC-07.d richiede di valutare i tempi e i costi di ripristino ma non impone un valore di RTO ne soglie numeriche; la richiesta di un RTO in ore e le soglie di flag per criticita' sono una scelta metodologica della piattaforma.]", "nis2_ref": "GV.SC-07.d", "vuln_flag": "rto_undefined_or_high", "high_criticality_only": false },
    { "order_index": 5, "code": "gvsc07_d_recovery_cost", "text": "Avete documentato una stima dei tempi e dei costi di ripristino dei servizi forniti al cliente?", "type": "yes_no_partial", "options": null, "weight": 3, "required": true, "help_text": "ACN Allegato 2, GV.SC-07 §1.d: «i tempi e i costi di ripristino in caso di indisponibilita' dei servizi».", "nis2_ref": "GV.SC-07.d", "vuln_flag": "recovery_cost_unknown", "high_criticality_only": true },
    { "order_index": 6, "code": "gvsc07_e_roles", "text": "I ruoli e le responsabilita' del vostro personale nel governo dei sistemi informativi e di rete del cliente sono formalizzati (es. a contratto)?", "type": "yes_no_partial", "options": null, "weight": 4, "required": true, "help_text": "ACN Allegato 2, GV.SC-07 §1.e: «i ruoli e le responsabilita' del fornitore nel governo dei sistemi informativi e di rete».", "nis2_ref": "GV.SC-07.e", "vuln_flag": "no_security_roles_defined", "high_criticality_only": false },
    { "order_index": 7, "code": "iso27001", "text": "Disponete di una certificazione ISO/IEC 27001 (o equivalente) in corso di validita'?", "type": "yes_no_partial", "options": null, "weight": 4, "required": true, "help_text": "ACN Allegato 2, GV.SC-01 §2.d «conformita' e audit di sicurezza»; affidabilita' del fornitore ex GV.SC-01 §2.a. [Interpretazione del prodotto: l'Allegato 2 non richiede la certificazione ISO/IEC 27001; il suo possesso e' usato come indicatore (proxy) di «conformita' e audit di sicurezza», non come obbligo di legge.]", "nis2_ref": "GV.SC-01.2.d", "vuln_flag": "no_iso27001", "high_criticality_only": false },
    { "order_index": 8, "code": "mfa", "text": "Imponete l'autenticazione a piu' fattori (MFA) per gli accessi ai sistemi che trattano dati del cliente?", "type": "yes_no_partial", "options": null, "weight": 5, "required": true, "help_text": "ACN Allegato 2, GV.SC-01 §2.g «gestione dell'autenticazione, delle identita' digitali e del controllo accessi»; cfr. Direttiva (UE) 2022/2555, Art. 21.2.j (autenticazione a piu' fattori).", "nis2_ref": "GV.SC-01.2.g", "vuln_flag": "no_mfa", "high_criticality_only": false },
    { "order_index": 9, "code": "patching", "text": "Avete un processo formale di patch management e gestione delle vulnerabilita'?", "type": "yes_no_partial", "options": null, "weight": 4, "required": true, "help_text": "ACN Allegato 2, GV.SC-01 §2.e «gestione delle vulnerabilita'»; cfr. Direttiva (UE) 2022/2555, Art. 21.2.e.", "nis2_ref": "GV.SC-01.2.e", "vuln_flag": "no_patch_mgmt", "high_criticality_only": false },
    { "order_index": 10, "code": "backup", "text": "Eseguite backup regolari con test di ripristino documentati?", "type": "yes_no_partial", "options": null, "weight": 4, "required": true, "help_text": "ACN Allegato 2, GV.SC-01 §2.f «continuita' operativa e ripristino in caso di disastro».", "nis2_ref": "GV.SC-01.2.f", "vuln_flag": "no_backup_tested", "high_criticality_only": false },
    { "order_index": 11, "code": "incident", "text": "Disponete di un piano di gestione degli incidenti che preveda la notifica al cliente?", "type": "yes_no_partial", "options": null, "weight": 5, "required": true, "help_text": "ACN Allegato 2, GV.SC-01 §2.m «gestione e segnalazione degli incidenti»; cfr. Direttiva (UE) 2022/2555, Art. 21.2.b.", "nis2_ref": "GV.SC-01.2.m", "vuln_flag": "no_incident_plan", "high_criticality_only": false },
    { "order_index": 12, "code": "access_review", "text": "Effettuate revisioni periodiche degli accessi con revoca tempestiva al cambio/cessazione di personale?", "type": "yes_no_partial", "options": null, "weight": 3, "required": true, "help_text": "ACN Allegato 2, GV.SC-01 §2.g «gestione dell'autenticazione, delle identita' digitali e del controllo accessi».", "nis2_ref": "GV.SC-01.2.g", "vuln_flag": "no_access_review", "high_criticality_only": false },
    { "order_index": 13, "code": "encryption", "text": "I dati del cliente sono cifrati a riposo e in transito con algoritmi allo stato dell'arte?", "type": "yes_no_partial", "options": null, "weight": 4, "required": true, "help_text": "ACN Allegato 2, GV.SC-01 §2.j «sicurezza dei dati»; cfr. Direttiva (UE) 2022/2555, Art. 21.2.h (crittografia).", "nis2_ref": "GV.SC-01.2.j", "vuln_flag": "no_encryption", "high_criticality_only": false },
    { "order_index": 14, "code": "subcontractor", "text": "Valutate la sicurezza dei vostri sub-fornitori (quarta parte) prima dell'affidamento?", "type": "yes_no_partial", "options": null, "weight": 3, "required": true, "help_text": "ACN Allegato 2, GV.SC-01 §2.q «subappalto, subfornitura o relativi potenziali requisiti di sicurezza lungo la catena di fornitura».", "nis2_ref": "GV.SC-01.2.q", "vuln_flag": "no_fourthparty_assessment", "high_criticality_only": false },
    { "order_index": 15, "code": "gvsc01_p_data_return", "text": "A fine fornitura garantite la restituzione e la cancellazione certificata dei dati del cliente?", "type": "yes_no_partial", "options": null, "weight": 4, "required": true, "help_text": "ACN Allegato 2, GV.SC-01 §2.p «dismissione della fornitura ivi compresa la restituzione e la cancellazione dei dati».", "nis2_ref": "GV.SC-01.2.p", "vuln_flag": "no_data_deletion_exit", "high_criticality_only": false },
    { "order_index": 16, "code": "gvsc01_q_subcontracting", "text": "In caso di subappalto/subfornitura, trasferite contrattualmente gli stessi requisiti di sicurezza lungo la catena di fornitura?", "type": "yes_no_partial", "options": null, "weight": 4, "required": true, "help_text": "ACN Allegato 2, GV.SC-01 §2.q «subappalto, subfornitura o relativi potenziali requisiti di sicurezza lungo la catena di fornitura».", "nis2_ref": "GV.SC-01.2.q", "vuln_flag": "no_security_flowdown", "high_criticality_only": false },
    { "order_index": 17, "code": "gvsc01_q_critical_subs", "text": "Elencate i sub-fornitori critici (quarta parte) coinvolti nella fornitura al cliente (ragione sociale e servizio).", "type": "text", "options": null, "weight": 3, "required": false, "help_text": "ACN Allegato 2, GV.SC-01 §2.q (catena di fornitura); cfr. Direttiva (UE) 2022/2555, Art. 21.3 (vulnerabilita' per ogni diretto fornitore e fornitore di servizi).", "nis2_ref": "GV.SC-01.2.q", "vuln_flag": "critical_subs_undisclosed", "high_criticality_only": true },
    { "order_index": 18, "code": "gvsc01_n_secure_dev", "text": "Adottate pratiche di sviluppo sicuro del codice e di sicurezza fin dalla progettazione e per impostazione predefinita?", "type": "yes_no_partial", "options": null, "weight": 4, "required": true, "help_text": "ACN Allegato 2, GV.SC-01 §2.n «sviluppo sicuro del codice e sicurezza fin dalla progettazione e per impostazione predefinita»; cfr. Direttiva (UE) 2022/2555, Art. 21.3 (procedure di sviluppo sicuro).", "nis2_ref": "GV.SC-01.2.n", "vuln_flag": "no_secure_dev", "high_criticality_only": false },
    { "order_index": 19, "code": "gvsc01_c_hr_reliability", "text": "Verificate l'affidabilita' del personale (es. background check) prima di assegnarlo ad attivita' con accesso ai dati/sistemi del cliente?", "type": "yes_no_partial", "options": null, "weight": 3, "required": true, "help_text": "ACN Allegato 2, GV.SC-01 §2.c «affidabilita' delle risorse umane».", "nis2_ref": "GV.SC-01.2.c", "vuln_flag": "no_hr_screening", "high_criticality_only": false },
    { "order_index": 20, "code": "gvsc01_f_dr_plan", "text": "Disponete di un piano di continuita' operativa e di disaster recovery documentato e testato?", "type": "yes_no_partial", "options": null, "weight": 4, "required": true, "help_text": "ACN Allegato 2, GV.SC-01 §2.f «continuita' operativa e ripristino in caso di disastro».", "nis2_ref": "GV.SC-01.2.f", "vuln_flag": "no_dr_plan", "high_criticality_only": false },
    { "order_index": 21, "code": "gvsc01_n_secdev_sdlc", "text": "In che misura il vostro ciclo di sviluppo prevede test di sicurezza pre-rilascio (SAST/DAST/code review)?", "type": "scale_1_5", "options": ["1_assenti","2_occasionali","3_su_progetti_chiave","4_sistematici","5_automatizzati_in_pipeline"], "weight": 2, "required": false, "help_text": "ACN Allegato 2, GV.SC-01 §2.n «sviluppo sicuro del codice e sicurezza fin dalla progettazione e per impostazione predefinita».", "nis2_ref": "GV.SC-01.2.n", "vuln_flag": "weak_sdlc", "high_criticality_only": true },
    { "order_index": 22, "code": "gvsc02_security_contact", "text": "Avete designato un referente/punto di contatto per la sicurezza informatica per questa fornitura?", "type": "yes_no_partial", "options": null, "weight": 3, "required": true, "help_text": "ACN Allegato 2, GV.SC-02 (titolo): «I ruoli e le responsabilita' in materia di cybersecurity per fornitori, clienti e partner sono stabiliti, comunicati e coordinati internamente ed esternamente». [Interpretazione del prodotto: la designazione di un punto di contatto sicurezza del fornitore e' una buona pratica per attuare GV.SC-02, non un obbligo testuale della misura.]", "nis2_ref": "GV.SC-02.1", "vuln_flag": "no_security_contact", "high_criticality_only": false },
    { "order_index": 23, "code": "gvsc02_staff_roles", "text": "I ruoli e le responsabilita' in materia di sicurezza del vostro personale che opera presso/per il cliente sono definiti e comunicati?", "type": "yes_no_partial", "options": null, "weight": 3, "required": true, "help_text": "ACN Allegato 2, GV.SC-02 §1: «i ruoli e responsabilita' in materia di sicurezza informatica assegnati al personale delle terze parti».", "nis2_ref": "GV.SC-02.1", "vuln_flag": "no_staff_security_roles", "high_criticality_only": false },
    { "order_index": 24, "code": "gvsc05_contract_clauses", "text": "Siete disponibili ad accettare clausole contrattuali di sicurezza informatica richieste dal cliente?", "type": "yes_no_partial", "options": null, "weight": 4, "required": true, "help_text": "ACN Allegato 2, GV.SC-05 §1: «i requisiti di sicurezza di cui alla misura GV.SC-01, punto 1, lettera b) sono inseriti nelle richieste di offerta, bandi di gara, contratti, accordi e convenzioni relativi alle forniture con potenziale impatto sulla sicurezza dei sistemi informativi e di rete».", "nis2_ref": "GV.SC-05.1", "vuln_flag": "no_security_clauses", "high_criticality_only": false },
    { "order_index": 25, "code": "gvsc05_audit_right", "text": "Consentite al cliente di verificare periodicamente, anche tramite audit, la conformita' della fornitura ai requisiti di sicurezza?", "type": "yes_no_partial", "options": null, "weight": 3, "required": true, "help_text": "ACN Allegato 2, GV.SC-07 §2: «E' verificata periodicamente e documentata la conformita' delle forniture ai requisiti di cui alla misura GV.SC-05».", "nis2_ref": "GV.SC-07.2", "vuln_flag": "no_audit_right", "high_criticality_only": true },
    { "order_index": 26, "code": "gvsc05_breach_notify", "text": "Vi impegnate contrattualmente a notificare al cliente incidenti/violazioni di sicurezza entro termini definiti?", "type": "yes_no_partial", "options": null, "weight": 4, "required": true, "help_text": "ACN Allegato 2, GV.SC-05 §1 (inserimento nei contratti dei requisiti di sicurezza di cui a GV.SC-01 punto 1 lett. b) in combinato con GV.SC-01 §2.m «gestione e segnalazione degli incidenti». [Interpretazione: la notifica al cliente entro termini definiti e' una clausola contrattuale derivata, coerente con GV.SC-01 §2.m + GV.SC-05.]", "nis2_ref": "GV.SC-05.1", "vuln_flag": "no_contractual_breach_notify", "high_criticality_only": false }
  ]
}
