il questionario chiede se abbiamo elaborato un piano di risposta agli incidenti

Il piano di risposta agli incidenti è una delle dieci misure dell'articolo 21

Sì, si tratta di una parte riconoscibile: l'articolo 21 paragrafo 2 lettera b della direttiva NIS2 menziona "incident handling" come una delle dieci misure obbligatorie. Il cliente non chiede qui una generica disponibilità a fare qualcosa in caso di violazione, ma una procedura documentata: chi segnala un incidente, chi valuta l'impatto, chi decide l'escalation e la comunicazione, e in quali tempi. Se questa procedura esiste e risulta per scritto, si tratta di una risposta affermativa con il documento come prova. Se non esiste, o vive solo nella testa delle persone, allora "no" è la risposta onesta — un "sì" tiepido senza un documento sottostante causa più danni in un audit rispetto a un no con una spiegazione che è in corso di sviluppo.

Prestare attenzione alla differenza con la domanda su rilevamento e individuazione: un piano di risposta agli incidenti riguarda ciò che accade dopo che qualcosa è stato rilevato, non come vengono individuate le vulnerabilità — quest'ultimo rientra in il processo di identificazione e correzione delle vulnerabilità. Alcuni questionari pongono questa domanda come questione separata, altri la combinano con la continuità ("come ripristinate la fornitura dei servizi"), che è un argomento diverso e viene affrontato tramite la domanda su backup e misure di emergenza. È quindi opportuno conservare nel dossier della catena il piano di risposta agli incidenti e la continuità come documento separato, anche se nella pratica sono contenuti in un unico documento.

Dove si trova nella direttiva e nella norma

L'articolo 21 paragrafo 2 lettera b della Direttiva (UE) 2022/2555 menziona letteralmente "incident handling" come misura obbligatoria insieme alle altre nove di detto paragrafo. Nella ISO/IEC 27001 questo è riportato nell'Allegato A, tra le misure di controllo sulla gestione degli incidenti di sicurezza delle informazioni — chi è già certificato secondo ISO 27001 probabilmente ha già questo documento. La Legge sulla sicurezza informatica attua l'articolo 21 in normative olandesi, ma entra in vigore solo il 15 agosto 2026; fino a quella data la direttiva stessa è il quadro di riferimento per chi deve verificare se tutto è già a posto.