Questionario sulla sicurezza di un cliente: cosa farne?

## Perché riceve questo questionario Se la sua azienda fornisce qualcosa a un'organizzazione che rientra nella direttiva NIS2 — un'entità essenziale o importante, si pensi a aziende energetiche, ospedali, grandi aziende di trasporto o infrastrutture digitali — allora quel cliente deve valutare i propri fornitori. La direttiva infatti obbliga quel cliente a mappare i rischi nella sua catena di approvvigionamento, non solo i suoi sistemi. Ciò è descritto in quella che viene spesso chiamata la zorgplicht, reperibile nell'articolo 21 della direttiva. Il questionario che riceve è la conseguenza pratica di ciò: il suo cliente deve poter dimostrare di sapere chi sono i suoi fornitori e come gestiscono la sicurezza. È importante capire: il fatto che riceva un questionario non significa automaticamente che la sua azienda rientri nella direttiva NIS2. La maggior parte delle aziende che ricevono un elenco di questo tipo è quello che viene chiamato keten-geraakt — non rientrano direttamente nella legge, ma vi vengono confrontati tramite un cliente. Se ciò accade per la sua organizzazione e che tipo esatto di coinvolgimento sia, può verificarlo con [[LINK:/nis2-check|un breve controllo che mappa la sua situazione]]. ## Cosa contiene di solito I questionari attualmente in circolazione variano notevolmente a seconda di chi li redige — non esiste un formato obbligatorio secondo la legge. Tuttavia, determinati argomenti ricorrono quasi sempre. Domande su chi all'interno della sua organizzazione è responsabile della sicurezza informatica, se ha una politica per la gestione degli incidenti, come regola l'accesso ai sistemi, se i dipendenti ricevono formazione e se stabilisce a sua volta requisiti per i suoi stessi fornitori. Alcuni elenchi chiedono inoltre certificazioni, incidenti precedenti o come gestisce gli aggiornamenti e i piani di ripristino. L'idea di fondo è sempre la stessa: il cliente cerca di farsi un'idea dei rischi che potrebbero raggiungerlo tramite la sua fornitura. Non è una sfiducia nei confronti della sua azienda in particolare, ma un obbligo che il cliente stesso deve rispettare. Se vuole capire quali dieci misure stanno alla base di tutto ciò, troverà la spiegazione in [[LINK:/onderwerpen|la panoramica degli argomenti per situazione]]. ## Cosa richiede una risposta utile Una buona risposta a un questionario sulla sicurezza non è necessariamente una risposta in cui riempie 'sì' ovunque. Le autorità di vigilanza e i clienti di solito cercano coerenza: le sue risposte sono in linea con quello che effettivamente fa e riesce a provarlo? Una risposta vaga o troppo ottimistica genera più domande nel tempo di una risposta onesta che identifica un punto di miglioramento con una timeline allegata. Aiuta a tenere tre cose ben chiare per ogni domanda: qual è la situazione attuale, chi all'interno della sua organizzazione può confermarlo e quale documento di supporto va con esso — un documento di politica, uno screenshot di un'impostazione, una panoramica della formazione. Le aziende che non devono cercare di nuovo questi tre punti per ogni domanda, ma li hanno già registrati in una panoramica in corso, di solito possono compilare un questionario entro un'ora invece di giorni. È esattamente per questo che serve un dossier con stato, documento di supporto e proprietario per ogni misura. ## Cosa non deve fare È bene sapere che la compilazione e l'invio di questo questionario rimane una sua responsabilità — un servizio può aiutarla nella preparazione e strutturazione delle risposte, ma non deve mai presentare le sue risposte a un cliente o un'autorità di vigilanza per suo conto. Anche un audit, un pentest o una certificazione è diverso dal compilare un questionario; rimane un lavoro per parti specializzate, nel caso un cliente chieda specificamente. Se dubita che le domande che riceve siano ragionevoli in relazione alle sue dimensioni e al suo ruolo, è una conversazione che dovrebbe affrontare direttamente con il cliente, eventualmente con un avvocato se i requisiti vengono formalizzati contrattuali. Secria descrive cosa dicono la direttiva e la legislazione nazionale, ma non giudica i singoli contratti. ## Approfondire Se vuole prima sapere da dove proviene questa informazione e come viene mantenuta, lo legga sulla [[LINK:/hoe-het-werkt|pagina sul funzionamento della piattaforma]]. Se non ha ancora un'idea della sua posizione nella catena, cominci con il controllo gratuito — fornisce entro poche domande un'indicazione e un passaggio logico successivo, senza bisogno di un account.