In breve
Rispondete solo con quello che potete dimostrare. Per ogni «Sì» tenete pronta una prova: un documento, una schermata, un registro. Dove la misura manca, scrivetelo e indicate una data. Tenete le risposte in un posto solo, perché il prossimo cliente vi chiederà quasi le stesse cose.
Com'è fatto un questionario
Ogni cliente ha il suo modello, ma la struttura si ripete:
- un file Excel, a volte Word o un modulo online;
- da poche decine a qualche centinaio di domande, divise per area: accessi, backup, incidenti, formazione, fornitori;
- una colonna per la risposta (Sì, No, Parziale, Non applicabile) e una per il commento;
- spesso una colonna per le prove, o la richiesta di allegare documenti;
- una scadenza, di solito di poche settimane.
Domande tipiche e prove che bastano
Una prova non deve essere complicata. Deve mostrare che la misura esiste davvero.
| Domanda | Cosa allegare |
|---|---|
| Usate l'autenticazione a più fattori? | Una schermata delle impostazioni della posta o della VPN che mostra l'obbligo attivo. |
| Fate backup regolari? | La pianificazione dei backup e il registro dell'ultima prova di ripristino, con la data. |
| Avete un piano di risposta agli incidenti? | Il documento, con data e nome di chi l'ha approvato. |
| Il personale fa formazione sulla sicurezza? | Il calendario dei corsi e l'elenco presenze o gli attestati. |
| Gli accessi sono personali e revocati all'uscita? | La procedura di uscita dei dipendenti e un esempio di account disattivato. |
| I dispositivi sono cifrati? | Il rapporto della console di gestione con lo stato della cifratura. |
| Installate gli aggiornamenti di sicurezza? | La politica di aggiornamento e un rapporto recente sugli aggiornamenti installati. |
Come rispondere
- Un «Sì» vale quanto la sua prova. Se il cliente chiede verifiche e la prova non c'è, la risposta si ritorce contro di voi.
- Usate «Parziale» e «No» quando servono, con una riga di spiegazione e una data entro cui rimedierete.
- Rispondete alla domanda fatta. Frasi generiche come «adottiamo le migliori pratiche» non dicono nulla al cliente.
- Siate coerenti tra clienti diversi. La stessa misura deve avere la stessa risposta in ogni questionario.
- Fate rileggere a chi gestisce davvero i sistemi, anche se l'informatica è affidata a un fornitore esterno.
- Tenete una copia di quello che avete mandato, con la data. Vi servirà al rinnovo.
Gli errori più comuni
- Rispondere «Sì» a memoria, senza controllare.
- Lasciare celle vuote: il cliente le legge come «No».
- Copiare risposte da un questionario vecchio senza aggiornarle.
- Allegare un documento intero senza dire dove si trova la parte che risponde.
- Ricominciare da zero a ogni questionario, rifacendo ogni volta lo stesso lavoro.
Quando arriva il secondo questionario
Le domande cambiano nella forma, ma chiedono le stesse cose: «Usate la MFA?», «L'accesso remoto richiede un secondo fattore?», «Come proteggete gli account amministrativi?» sono tre modi di fare la stessa domanda.
Se tenete un archivio di risposte e prove legato alle misure, e non ai singoli questionari, il secondo file si compila in una frazione del tempo. È anche il modo più semplice per restare coerenti.
Dove aiuta Claspy
Claspy legge l'Excel del cliente così com'è, collega ogni domanda alle informazioni che avete già dato e scrive la risposta con la sua prova allegata. Dove la prova manca, lo segnala e scrive «No» invece di inventare. Voi controllate e scaricate lo stesso file, compilato.
Questa guida dà un quadro generale e non sostituisce il parere di un legale o di un consulente. Per i casi concreti fanno fede i testi ufficiali.
Fonti: Direttiva (UE) 2022/2555 su EUR-Lex · Decreto legislativo 138/2024 su Normattiva · Pagina NIS2 dell'Agenzia per la Cybersicurezza Nazionale