Progetto

Ordinanza «%ASFF_YYYY_ID»

e. divergenze tra risultati attesi ed effettivi;

f. valutazione dei risultati da parte di terzi.

2.6 Audit – Livello 3

L’efficacia e la rilevanza degli artefatti di sicurezza e dei relativi processi devono es- sere valutate e il parere degli stakeholder interessati deve essere confermato. A tale scopo, dopo un esame preliminare degli artefatti di sicurezza e dei relativi processi è condotto un audit formale incentrato su:

- verifica delle funzioni di sicurezza dell’oggetto esaminato;

- valutazione del grado di implementazione e di maturazione dei processi di supporto.

Sono temi dell’audit in particolare:

- organizzazione di sicurezza e competenze;

- processo di miglioramento continuo;

- audit interni sulla cibersicurezza;

- ciclo di vita;

- sistema di gestione della qualità;

- gestione della configurazione;

- gestione delle modifiche;

- valutazione d’impatto;

- verifica;

- struttura della documentazione e modelli;

- gestione dei fornitori;

- processi di post-sviluppo (p. es. monitoraggio dei prodotti, gestione delle vul- nerabilità).

2.7 Verifica – Raccomandazione di certificazione

Sulla base dei risultati delle fasi 2.3–2.6, il revisore responsabile deve verificare se sono soddisfatti tutti i requisiti di certificazione.

2.8 Decisione relativa alla certificazione

Sulla base della verifica da parte del revisore responsabile, una commissione indipen- dente deve verificare la raccomandazione di certificazione. Decide poi in merito al rilascio del certificato.