Perché riceve questo questionario
Se la sua azienda fornisce beni o servizi a un'organizzazione che rientra nella direttiva NIS2 — un'entità essenziale o importante, come aziende energetiche, ospedali, grandi aziende di trasporto o infrastrutture digitali — allora il cliente è tenuto a valutare i propri fornitori. La direttiva infatti obbliga il cliente a mappare i rischi nella sua catena di approvvigionamento, non solo nei suoi stessi sistemi. Ciò è descritto in quello che spesso viene definito obbligo di diligenza, contenuto nell'articolo 21 della direttiva. Il questionario che riceve è la conseguenza pratica di ciò: il suo cliente deve poter dimostrare di sapere chi sono i suoi fornitori e come gestiscono la sicurezza.
È importante sapere che ricevere un questionario non significa automaticamente che la sua organizzazione rientra nella direttiva NIS2. La maggior parte delle aziende che ricevono un elenco di questo tipo sono quelle che si definiscono interessate dalla catena di approvvigionamento — non rientrano direttamente nella normativa, ma vi sono comunque confrontate tramite un cliente. Per accertare se ciò vale per la sua organizzazione e che tipo di coinvolgimento sia, può eseguire un breve controllo che delinea la sua situazione.
Che cosa di solito contengono
I questionari che attualmente circolano variano notevolmente a seconda di chi li prepara — non esiste un formato obbligatorio previsto dalla legge. Tuttavia, certi argomenti ricorrono quasi sempre. Domande su chi all'interno della sua organizzazione è responsabile della sicurezza delle informazioni, se ha una politica per la gestione degli incidenti, come regola l'accesso ai sistemi, se i dipendenti ricevono formazione, e se pone anche lei requisiti ai suoi stessi fornitori. Alcuni questionari chiedono inoltre certificazioni, incidenti precedenti, o come gestisce gli aggiornamenti e i piani di remediation.
Il ragionamento di fondo è sempre lo stesso: il cliente cerca di farsi un'idea dei rischi che potrebbero raggiungerlo tramite la sua fornitura. Non è una sfiducia verso la sua azienda in particolare, ma un obbligo che il cliente stesso deve rispettare. Se vuole capire quali dieci misure fungono da base per questo, la spiegazione si trova in la panoramica degli argomenti per situazione.
Cosa richiede una risposta utile
Una buona risposta a un questionario di sicurezza non è necessariamente una risposta in cui scrive 'sì' dappertutto. Le autorità di controllo e i clienti di solito guardano alla coerenza: le sue risposte sono in linea con quello che effettivamente fa, e può provarlo? Una risposta vaga o eccessivamente ottimistica genera più domande nel tempo rispetto a una risposta onesta che individua un punto di miglioramento con una tempistica associata.
Aiuta avere tre cose ben chiare per ogni domanda: qual è la situazione attuale, chi all'interno della sua organizzazione può confermarlo, e quale documento di supporto è disponibile — una politica, uno screenshot di un'impostazione, un elenco di formazione. Le aziende che non devono risolvere nuovamente questi tre punti per ogni domanda, ma li hanno già registrati in una panoramica in corso, di solito possono compilare un questionario in un'ora anziché giorni. Questo è esattamente lo scopo di un dossier con status, documento di supporto e responsabile per misura.
Cosa non è necessario fare
È bene sapere che la compilazione e l'invio di questo questionario rimane sua responsabilità — un servizio può aiutarla a preparare e strutturare le risposte, ma non deve mai inviarle a nome suo a un cliente o a un'autorità. Allo stesso modo, un audit, un test di penetrazione o una certificazione sono diversi dalla compilazione di un questionario; rimangono lavoro per parti specializzate, se un cliente ne chiede specificamente.
Se dubita che le domande che riceve siano ragionevoli in relazione alle dimensioni e al ruolo della sua azienda, è una conversazione che farebbe bene a condurre direttamente con il cliente, eventualmente con un avvocato se i requisiti vengono formalizzati contrattualmente. Secria descrive cosa dicono la direttiva e la normativa nazionale, ma non giudica i singoli contratti.
Continuare
Se desiderate innanzitutto sapere da dove provengono queste informazioni e come vengono gestite, potete leggerlo su la pagina sulla metodologia della piattaforma. Se non avete ancora un'idea della vostra posizione nella catena di fornitura, iniziate con il controllo gratuito — che fornisce un'indicazione e un passaggio logico successivo entro poche domande, senza necessità di un account.