ogni cliente invia il proprio questionario sulla sicurezza informatica, come mi organizzo al meglio

Un fascicolo della catena, dieci categorie fisse

L'approccio intelligente non è: compilare ogni lista separatamente. È: ordinare una volta le tue risposte secondo le dieci misure dell'articolo 21 comma 2 NIS2, e riutilizzarle per ogni cliente. La banca, l'assicuratore e il cliente industriale pongono domande praticamente identiche — solo in ordine diverso e con etichette diverse. La banca la chiama "controllo dell'accesso", il cliente industriale la chiama "identity & access management", ma la risposta viene dalla stessa sezione del fascicolo: è stata definita la politica di accesso, inclusa la gestione dei beni aziendali.

Non appena il tuo fascicolo è completo per le dieci categorie — politica dei rischi, gestione degli incidenti, continuità, gestione delle vulnerabilità, sicurezza della catena, audit, consapevolezza, crittografia, accesso/MFA, e il tuo status NIS2 — ogni nuova lista riguarda soprattutto riconoscere quale domanda appartiene a quale categoria. Alcune domande coprono due categorie in una sola frase, per esempio politica di accesso insieme a autenticazione multifattore. Dividile allora nel tuo fascicolo, non nella tua testa ogni volta per ogni nuova lista.

Perché queste dieci categorie sono il cardine

L'articolo 21 comma 2 della direttiva NIS2 cita dieci misure che un'entità deve adottare: dalla politica di analisi dei rischi alla crittografia al controllo dell'accesso. Praticamente ogni questionnaire del cliente — formulario cyber di una banca, security-questionnaire di un fornitore tech, parte cyber ESG di un assicuratore — è una propria traduzione di questi stessi dieci punti, a volte integrata con la terminologia dell'Allegato A di ISO/IEC 27001 perché il redattore ha utilizzato quella norma come quadro di riferimento. Chi costruisce il proprio fascicolo sull'articolo 21 comma 2 riconosce così rapidissimamente quale numero di controllo dell'Allegato A o quale domanda del cliente appartiene a quale parte del fascicolo. La Legge olandese sulla Sicurezza Informatica implementa queste dieci misure a partire dal 15 agosto 2026 nella legislazione nazionale, quindi il cardine non cambia — solo il titolo giuridico a cui un cliente fa riferimento.