il mio cliente chiede documenti di supporto allegati al questionario, cosa devo fornire

La prova è collegata alla risposta, non alla domanda nel suo complesso

Non esiste un elenco fisso di "prove per risposte sulla sicurezza informatica" — la prova dipende da quale delle dieci misure dell'articolo 21, paragrafo 2 della direttiva NIS2 il cliente richiede. Se chiede informazioni sul controllo degli accessi, allora un estratto dalla politica di controllo degli accessi è appropriato, non l'intera politica di sicurezza delle informazioni. Se chiede informazioni sulla risposta agli incidenti, allora spesso è sufficiente una descrizione del processo con linee di escalation, nessun registro degli incidenti con dettagli. Pensando alla suddivisione, alle categorie che si presentano anche in la politica di analisi dei rischi, la procedura in caso di incidenti di sicurezza e i requisiti per i fornitori propri ognuna richiede un diverso tipo di documentazione.

Se non disponi della prova — ad esempio perché la politica esiste ma non è mai stata messa per iscritto — allora "no" con una breve spiegazione è la risposta onesta, non un riferimento a un documento che non esiste. Un certificato ISO 27001 copre più domande contemporaneamente, ma solo se l'ambito di applicazione di quel certificato tocca effettivamente le aree su cui il cliente chiede informazioni; diversamente crea una falsa sicurezza che riappare durante un audit. Verifica quindi prima se il certificato è applicabile alla parte richiesta, prima di presentarlo come prova.

Da dove deriva: articolo 21 paragrafo 2 e Allegato A

L'articolo 21, paragrafo 2 della direttiva NIS2 elenca le dieci misure su cui un cliente di solito approfondisce — dalla gestione del rischio alla politica di controllo degli accessi alla sicurezza dei fornitori — e ogni misura ha il suo proprio tipo di prova, non un unico documento onnicomprensivo. ISO/IEC 27001 Annex A contiene le misure di controllo che sono spesso utilizzate come checklist per determinare quale prova va con quale domanda; un certificato rispetto a tale norma non è quindi una sostituzione dei documenti sottostanti, ma una conferma che sono stati sottoposti a verifica. La Legge sulla sicurezza informatica, il recepimento olandese di NIS2, entra in vigore il 15 agosto 2026 e contiene la stessa struttura — per chi raccoglie già le prove ora, l'allineamento con questa struttura non è quindi uno sforzo perso.