devo inviare il nostro piano di risposta come documento al cliente

Di solito non l'intero documento, ma i dati essenziali

No, nella maggior parte dei casi il piano di risposta agli incidenti completo non deve essere allegato. I portali che pongono domande sulla risposta agli incidenti — parte di la procedura per la gestione degli incidenti di sicurezza — di solito vogliono sapere o se esiste una procedura, chi è responsabile e entro quanto tempo un incidente viene escalato e segnalato. Queste sono domande che rispondi con un sì/no e una breve spiegazione, non con il manuale completo incluso gli organigrammi di contatto e i nomi dei sistemi.

Ci sono due situazioni in cui un allegato è richiesto: se il cliente ha esplicitamente "carica il tuo piano di risposta agli incidenti" come tipo di domanda, oppure se si tratta di una checklist di audit che rende obbligatori i documenti probanti. In tal caso una versione riepilogativa — una pagina con ambito, ruoli, termini di notifica e percorsi di escalation, senza dettagli tecnici sensibili — è spesso sufficiente. Se è necessario un piano completo o un riepilogo, risulta dal testo della domanda stesso; se vi compare "descrivi" invece di "carica", una risposta testuale è più appropriata di un allegato.

Perché esiste questa distinzione: articolo 21 comma 2 NIS2

L'articolo 21 comma 2 della direttiva NIS2 cita la gestione degli incidenti come una delle dieci misure obbligatorie, ma non prescrive una forma di documento — la direttiva richiede un processo, non un formato di caricamento specifico. ISO/IEC 27001 Allegato A sviluppa questo in misure di controllo sulla risposta e il recupero, e si vede lo stesso schema: la norma verifica se il processo esiste e funziona, non se esiste un documento singolo e ben definito chiamato "piano di risposta agli incidenti". Questo spiega perché la maggior parte dei portali è soddisfatta di una descrizione nel campo di risposta, e perché un allegato è necessario solo se la domanda lo richiede esplicitamente. Se non hai ancora documentato il processo, spesso è più facile prima la politica per l'analisi dei rischi e la sicurezza dell'informazione metterlo in ordine — la risposta agli incidenti di solito vi si basa.