Il vostro cliente vi invia un questionario di sicurezza — e adesso?
Non rientrate negli obblighi diretti, ma comunque dovrete rispondere alle domande. Ecco perché accade e come dare una buona risposta.
Perché ricevete questa lista
Il vostro cliente rientra nella NIS2 e ha una zorgplicht. Una delle dieci misure della zorgplicht riguarda esplicitamente la catena: deve valutare la sicurezza dei propri fornitori e prestatori di servizi, nella misura in cui interessano i suoi sistemi.
Non può saltare questo passaggio. La sua autorità di vigilanza può chiedere conto di questo e il suo consiglio di amministrazione è personalmente responsabile. Da qui la lista di domande e da qui la pressione.
Che cosa di solito contengono
Le domande riguardano quasi sempre gli stessi dieci argomenti, perché si basano sullo stesso articolo normativo. Avete una politica di sicurezza informatica, come gestite gli incidenti, che cosa fate per la continuità e i backup, come valutate i vostri fornitori, come affrontate le vulnerabilità, misurate se funziona, a che punto siete con gli aggiornamenti e la consapevolezza, crittografate i dati, chi ha accesso a cosa, e usate l'autenticazione a due fattori.
Il formato varia — un file Excel, un documento Word, un portale dove dovete accedere voi stessi — ma il contenuto no. È proprio per questo che la seconda volta sarà molto meno lavoro.
Che cosa è una buona risposta
Sincera e documentata. Parzialmente realizzato, ecco il documento sulla politica, questo è previsto per il terzo trimestre: è una risposta migliore di una spunta su tutto. Il vostro cliente non valuta se siete perfetti, valuta se rappresentate un rischio e se sapete dove state.
Quello che non dovete fare è inventare. Una risposta che risulta falsa in caso di controllo vi costa il contratto e la relazione. Quello che non è stato fatto, lo segnalate come ancora da realizzare, con una data.
Domande frequenti
Devo rispondere per forza?
Per legge no, non avete obblighi diretti. Commercialmente è diverso: senza risposta perderete il contratto o il rinnovo.
Il mio cliente può fare tutte queste domande?
Sì. A differenza di quanto accade con le liste di sostenibilità, nella NIS2 non esiste un limite legale a quello che un cliente può chiedere. Deve però stare in proporzione al rischio che rappresentate per lui.
Ricevo da ogni cliente una lista diversa.
È vero, ed è il vero problema. Gli argomenti sono gli stessi, la forma è diversa. Costruire una volta un dossier e da lì ricavare le risposte è l'unica strada praticabile.
Questo è una spiegazione, non una consulenza sulla vostra situazione specifica. secria.eu non valuta la vostra organizzazione e non fornisce assurance.