dobbiamo segnalare un incidente di sicurezza di un anno fa al nostro cliente

Un vecchio incidente appartiene al questionario, non a un canale di segnalazione separato

Sì, un incidente di sicurezza dell'anno scorso lo inserisci se la domanda riguarda incidenti o la loro gestione — anche se l'incidente stesso è già stato chiuso. La domanda nella maggior parte dei questionari dei clienti non riguarda una minaccia attuale, ma se esiste una procedura e se funziona. Un incidente risolto dell'anno scorso ne è piuttosto una prova che un rischio: dimostra che la procedura per la gestione degli incidenti di sicurezza nella pratica è stato seguito, dalla segnalazione alla chiusura.

Questo è quindi diverso da un obbligo legale di segnalazione a un'autorità di vigilanza — che ha i propri termini e i propri destinatari, e quei termini sono da tempo scaduti se l'incidente è dell'anno scorso. Il questionario del tuo cliente non è un punto di segnalazione; è una domanda di rendicontazione. Rispondi sulla base di ciò che è ora documentato: esiste una procedura, è stata applicata, sono stati apportati miglioramenti in seguito all'incidente? Se quest'ultimo manca, allora "no" o "in parte" è una risposta altrettanto valida quanto "sì" — purché corrisponda a ciò che è contenuto nel fascicolo della catena.

Fonte: articolo 21 paragrafo 2 e Allegato A

L'articolo 21, paragrafo 2 della direttiva NIS2 menziona la gestione degli incidenti come una delle dieci misure obbligatorie, insieme a, tra l'altro, analisi dei rischi e protezione dei sistemi informativi e policy di continuità. ISO/IEC 27001 lo sviluppa nell'Allegato A in misure di controllo che richiedono la registrazione, la risposta e la valutazione degli incidenti — un fascicolo chiuso dell'anno scorso vi si adatta perfettamente come materiale di esempio. La Legge sulla Cibersicurezza, il recepimento olandese della NIS2, entra in vigore il 15 agosto 2026 e regola l'obbligo legale di segnalazione al governo; questo è un percorso diverso dalla rendicontazione che un cliente chiede nel suo stesso questionario.