chiedono il nostro completo documento sulla politica di sicurezza

La condivisione del documento politico completo di solito non è necessaria

No, nella maggior parte dei casi non è necessario, e inoltre non è quello che il cliente vuole effettivamente sapere. Una domanda come "inviate la vostra politica di sicurezza" è quasi sempre una traduzione di qualcosa di più specifico: il cliente vuole sapere se esiste una politica per l'analisi dei rischi, se c'è una procedura di incidente, se l'accesso è ben regolamentato. Queste sono le dieci misure dell'articolo 21 paragrafo 2 della NIS2, e la stessa suddivisione la si ritrova nelle misure di controllo dell'Allegato A della ISO/IEC 27001. Un questionario che chiede una "politica completa" di solito comunque la divide ancora in sotto-domande — quindi verificate prima che sia questo il caso prima di caricare un documento completo.

Il rischio di inviare un intero documento politico non è legale ma pratico: spesso contiene più di quanto il cliente necessita — nomi di strumenti, procedure interne, dati di contatto del personale. Chi preferisce rispondere per ogni domanda invece di condividere un documento, può limitarlo con il pulsante di riservatezza a ciò che è effettivamente richiesto. Se la domanda riguarda comunque uno specifico sottotema, la risposta spesso si trova già altrove: oppure la politica di accesso è documentata, o c'è una procedura per gli incidenti, o viene verificata periodicamente. Di solito è più concreto rispondere con questi dati che con un documento completo.

Da dove deriva: articolo 21 paragrafo 2 e Allegato A

L'articolo 21 paragrafo 2 della NIS2 cita dieci misure concrete — analisi dei rischi, gestione degli incidenti, continuità operativa, gestione delle vulnerabilità, politica di accesso e altro — senza richiedere che una terza parte veda il documento sottostante stesso. La norma ISO/IEC 27001 Allegato A funziona con la stessa logica: le misure di controllo sono verificabili per singola parte, non come un unico documento politico indivisibile. Tenete presente anche che la domanda se la propria azienda rientra nella NIS2 o nella trasposizione nazionale è separata da ciò che un cliente richiede in un questionario — questi due aspetti sono piuttosto spesso confusi.