Sala 4 · Los terceros y la cadena de suministro

Para cumplir sus propios plazos de notificación, una entidad necesita enterarse a tiempo de lo que pasa en su proveedor. Si el contrato le da al proveedor más horas para avisar de las que la política tolera, la cadena de plazos se rompe antes de empezar; el criterio aplica a los proveedores críticos.

Un informe independiente describe el pasado: su valor decae con el tiempo desde el cierre de su periodo. La política fija una antigüedad máxima, y se cuenta desde el cierre del último periodo hasta la fecha de corte de la revisión.

En la lista de componentes de software, uno que su mantenedor dejó de actualizar acumula vulnerabilidades que nadie corrige. El criterio mide la antigüedad de la última versión publicada contra la fecha de corte; la licencia es otra revisión y no cuenta aquí.

Dos informes consecutivos de un mismo proveedor no prueban nada sobre el tiempo que queda entre uno y otro. Ese hueco se cuenta en días completos que no pertenecen a ningún periodo de ningún informe.

El contrato de un proveedor debe listar a quienes tratan datos en su nombre. Un destino que aparece en el flujo de datos real y no figura en el contrato es un tratamiento no autorizado hasta que se regularice.