compilare questo questionario sulla sicurezza mi richiede sempre troppo tempo

Sempre gli stessi dieci argomenti, in una veste diversa

Nella stragrande maggioranza dei casi dipende da una cosa sola: ogni cliente traduce le stesse dieci misure dell'articolo 21, paragrafo 2, NIS2 nelle proprie parole e nel proprio ordine. Un portale chiede "avete un processo di risposta agli incidenti", un altro "descrivete la vostra procedura in caso di incidenti di sicurezza" — è la stessa domanda di esiste una procedura per il trattamento degli incidenti di sicurezza?. Senza un unico dossier centralizzato, quindi, cercate quella risposta dieci volte l'anno, in dieci formulazioni diverse.

Il tempo non sta nella risposta, sta nel ritrovamento della documentazione. Quale politica, quale versione, quale certificato — cercare quella documentazione e riformulare la risposta nel formato di quello specifico cliente, quello è il lavoro di un'intera giornata. Le domande su autenticazione multifattore, su politica di accesso e gestione dei beni e su i requisiti di sicurezza per i fornitori ricorrono in praticamente ogni lista, solo diversamente organizzate. Chi una volta sola per tipo di domanda fissa quale sia la risposta effettiva e dove stia la documentazione, dopodiché deve solo riconoscere quale dei dieci argomenti viene affrontato — e quello è un lavoro di minuti, non di un'intera giornata.

Riconducibili alle stesse dieci misure

L'articolo 21, paragrafo 2, della Direttiva (UE) 2022/2555 elenca le dieci misure a cui praticamente ogni questionario sulla sicurezza — che provenga da una banca, da un assicuratore o da un grande cliente — ricorre direttamente o indirettamente: dalla gestione del rischio e dal trattamento degli incidenti alla crittografia e al controllo degli accessi. Chi applica ISO/IEC 27001 ritrova gli stessi argomenti nelle misure di controllo dell'Allegato A, il che spiega perché un questionario su "sicurezza delle informazioni" e uno su "conformità NIS2" pongono in larga misura domande sugli stessi fatti. La Legge olandese sulla cibersicurezza, che recepisce questa direttiva entro il 15 agosto 2026, non cambia quella struttura fondamentale — le domande che i clienti pongono già oggi rimangono quindi in gran parte le stesse domande dopo quella data.