Rispondere ai questionari di sicurezza dei clienti
Un cliente ti invia un questionario di qualifica fornitori con decine di domande sulla sicurezza informatica. Le risposte valgono quanto le evidenze che le accompagnano: ecco come averle pronte.
Il questionario di sicurezza per i fornitori non è più un'eccezione
Fino a pochi anni fa il questionario di sicurezza per i fornitori lo mandavano solo banche e multinazionali. Oggi arriva anche alle piccole software house, ai manutentori, agli studi che gestiscono dati per conto di altri. Il motivo è che le norme spostano la responsabilità lungo la catena di fornitura: il tuo cliente deve dimostrare di aver verificato te.
- NIS2. Il decreto legislativo 138/2024 include la sicurezza della catena di approvvigionamento fra le misure obbligatorie, e dal 2026 i soggetti NIS comunicano all'ACN anche i propri fornitori rilevanti. Vedi NIS2 soggetti importanti e il percorso di adeguamento NIS2.
- DORA. Il regolamento (UE) 2022/2554, applicato dal 17 gennaio 2025, chiede a banche, assicurazioni e intermediari di gestire il rischio dei fornitori di servizi ICT e di tenerne un registro. Vedi DORA.
- ISO/IEC 27001. Lo standard dedica più controlli al rapporto con i fornitori: requisiti di sicurezza negli accordi, monitoraggio, gestione dei servizi cloud. Vedi ISO/IEC 27001.
- GDPR. L'articolo 28 chiede al titolare di affidarsi solo a responsabili che presentino garanzie sufficienti. Vedi GDPR.
- Grandi clienti e gare. Molti capitolati chiedono certificazioni, risultati di vulnerability assessment e procedure di gestione degli incidenti come requisito di accesso.
Cosa chiedono di solito
I questionari cambiano nella forma, ma le domande ricorrono. Quasi tutte hanno una seconda parte, spesso implicita: "allegate l'evidenza".
| Domanda tipica | L'evidenza che risponde |
|---|---|
| Fate vulnerability assessment periodici? Con quale esito? | Report Rischi Informatici in formato Executive, con i risultati su rete interna, rete esterna e applicazioni web |
| Avete un'analisi dei rischi aggiornata? | La campagna chiusa del Risk Assessment, con rischio inerente, piano di trattamento e rischio residuo |
| Avete politiche e procedure di sicurezza approvate? | I documenti di conformità: procedure con frontespizio, revisione, approvazione e classificazione TLP |
| Siete certificati ISO 27001, o in quale misura ne applicate i controlli? | La Dichiarazione di Applicabilità e il punteggio della gap analysis sulla norma |
| Usate l'autenticazione a più fattori? Come gestite gli account privilegiati? | Il report di postura Microsoft Entra ID o Google Workspace, con le accettazioni motivate |
| Come gestite gli incidenti? Chi è il referente? | Il report CSIRT di Incident Response, con i ruoli assegnati e il contatto unico |
| Formate il personale? | Il registro della Formazione e i risultati delle campagne di Cyber Awareness |
| Il monitoraggio è continuo o occasionale? | Lo storico della Time Machine: sei mesi di controlli giorno per giorno e un report tecnico archiviato ogni settimana |
Da questionario a fascicolo, in quattro passaggi
Misura dove sei
La gap analysis sulla norma che il cliente cita, NIS2, ISO/IEC 27001 o DORA, ti dice su quali requisiti la risposta onesta oggi è "no" o "in parte".
Chiudi i buchi che contano
Prima le domande bloccanti: vulnerabilità critiche, MFA, backup, procedura incidenti. La simulazione ti mostra quale servizio sposta di più il punteggio.
Raccogli le evidenze
Report, procedure, Dichiarazione di Applicabilità e registri escono dalla piattaforma già pronti; i documenti di conformità portano l'intestazione della tua azienda.
Rispondi e conserva
Le stesse evidenze servono al cliente successivo. E la volta dopo puoi mostrare il miglioramento, perché lo storico è datato.
Evidenze oneste reggono meglio
Chi valuta i questionari ne legge molti e riconosce le risposte copiate. Dottor Box non abbellisce: un indicatore che non si può verificare resta "non valutabile" invece di risultare superato, un rilievo accettato porta con sé la motivazione e torna a segnalare se la configurazione cambia, e nella Time Machine i mesi senza controlli restano visibili.
Per un cliente esigente questo vale più di un punteggio perfetto: dimostra che il dato è misurato e che sai dove sono i tuoi limiti.
Anche il tuo fornitore viene qualificato. Molti questionari chiedono se i fornitori ICT che usi sono certificati. Dottor Marc S.r.l. è certificata ISO/IEC 27001 e ISO 9001, ha nominato un DPO e tratta i dati su infrastruttura cloud Google e datacenter proprietari di Dottor Marc. I dettagli sono in Sicurezza e conformità.
Il questionario NIS2 per i fornitori, dall'altra parte
Spesso chi riceve un questionario deve a sua volta qualificare i propri fornitori: il cliente chiede proprio questo. Con il modulo Supply Chain componi questionari per categoria di fornitore, li invii con un link personale e i fornitori rispondono senza creare un account, allegando le evidenze. Vedi a che punto è ciascuno e conservi le risposte. Così alla domanda "come verificate la vostra catena di fornitura?" rispondi con un elenco, non con un'intenzione.
Domande sui questionari di sicurezza dei fornitori
Perché i clienti mandano questionari di sicurezza ai fornitori?
Perché norme come NIS2, DORA, ISO/IEC 27001 e GDPR li rendono responsabili della sicurezza della propria catena di fornitura. Per dimostrarlo devono chiedere ai fornitori informazioni ed evidenze e conservarle. Il questionario è lo strumento più diffuso per farlo.
Serve la certificazione ISO 27001 per superare la qualifica?
Non sempre. Molti clienti accettano evidenze equivalenti: un'analisi dei rischi, procedure approvate, risultati di vulnerability assessment, una Dichiarazione di Applicabilità. Alcune gare e alcuni settori però la richiedono espressamente, e conviene leggerlo nel capitolato prima di rispondere.
Posso consegnare il report di vulnerability assessment completo?
Di solito non è una buona idea: il dettaglio host per host è informazione sensibile. Il formato Executive del Report Rischi Informatici riassume i risultati senza il dettaglio tecnico, e la classificazione TLP indica chi può ricevere il documento.
Cosa rispondo se un requisito non è ancora coperto?
La verità, con un piano: cosa manca, cosa stai facendo e per quando. Un piano di trattamento datato e un punteggio che migliora nel tempo sono spesso accettati, mentre una risposta positiva non dimostrabile può far perdere la fiducia del cliente al primo audit.
I moduli che producono le evidenze
Report Rischi Informatici
Il report periodico in PDF, presentazione ed Excel, con i capitoli che scegli.
Scopri di più DimostrareDocumenti di conformità
SOA, verbali di riesame, fascicoli delle evidenze, rapporti di audit e registri.
Scopri di più DimostrareTime Machine
Il calendario dei controlli degli ultimi 180 giorni e l'archivio dei report settimanali.
Scopri di più GovernareCompliance e GRC
Politiche, procedure, audit ed evidenze per otto framework, con un solo lavoro che vale per più norme.
Scopri di più GovernareSupply Chain
La qualifica dei fornitori con questionari compilati da un link, senza creare account.
Scopri di più ConformitàISO/IEC 27001
Il sistema di gestione della sicurezza delle informazioni, dalla SOA all'audit.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.