chi è responsabile della compilazione dei questionari dei clienti sulla sicurezza

Responsabile è il ruolo, non il reparto

Non esiste un'indicazione legale su chi nell'azienda compili il questionario sulla sicurezza — è una politica interna, non un obbligo normativo. In pratica dipende da chi può motivare la risposta: spesso il responsabile IT o l'addetto alla sicurezza per le misure tecniche, e la direzione risorse umane o l'amministrazione per le politiche e la consapevolezza. Con una certificazione ISO 27001 questo è solitamente già definito nella distribuzione dei ruoli intorno al sistema di gestione della sicurezza delle informazioni, e allora il questionario è una questione di consultare quel sistema, non di ripetere l'indagine.

Dove spesso si sbaglia non è la domanda su chi compila, ma la domanda su chi può approvare. Una risposta tecnica può essere corretta, ma se la persona che la inserisce non ha visibilità su ciò che può essere comunicato a terzi, potrebbe uscire informazione che non dovrebbe. Questo è un motivo per considerare la compilazione e il rilascio come due fasi separate: la prima è di natura fattuale, la seconda è una valutazione sulla riservatezza. Lo stesso principio si applica ad esempio alla domanda se l'impresa dispone di un piano di continuità — anche lì la risposta spesso è nota, ma non sempre è previsto che venga condivisa nel dettaglio.

Cosa il questionario verifica nel merito

Le dieci misure dell'articolo 21 paragrafo 2 della direttiva NIS2 (Direttiva (UE) 2022/2555) danno una buona idea delle categorie che compaiono nei questionari dei clienti: analisi dei rischi, gestione degli incidenti, continuità aziendale, sicurezza dei fornitori, politiche di accesso e simili. Chi applica ISO/IEC 27001 riconosce gli stessi argomenti nelle misure di controllo dell'Allegato A — questo rende lo standard un utile documento di riferimento interno, anche se il certificato stesso non viene mostrato al cliente. Per la domanda se l'impresa è certificata ISO 9001 vale la stessa logica: si tratta di una norma a parte, ma la domanda su chi conosce e gestisce la risposta spesso ricade sulla stessa persona dal punto di vista organizzativo.