non comprendo una domanda tecnica del questionario, chi può rispondere

Ricondurre la domanda a una delle dieci misure

Una domanda tecnica contenuta in un questionario è quasi sempre una traduzione di una delle dieci misure di cui all'articolo 21, paragrafo 2, della direttiva NIS2, oppure di una misura di controllo dell'Allegato A dello standard ISO/IEC 27001. Il portale del cliente utilizza spesso una formulazione propria — "come è organizzato il vostro segmentamento della rete" o "quale standard di crittografia utilizzate per i dati inattivi" — ma la domanda sottostante è nota. Vale la pena di determinare prima in quale categoria ricade la domanda: si tratta di accesso, di crittografia, di vulnerabilità, oppure della catena di approvvigionamento. Una volta stabilita quella categoria, la domanda è generalmente risolvibile con la documentazione esistente, anche se il termine esatto è nuovo.

In caso di dubbio sulla precisa implementazione tecnica — quale protocollo, quale lunghezza della chiave, quale frequenza di scansione — il reparto IT o il gestore esterno è la parte competente, non la persona di contatto commerciale o legale che riceve la lista. Chi incontra regolarmente le stesse domande tecniche sulla crittografia, può documentarle come risposta fissa per l'argomento se esiste una policy sulla crittografia e la cifratura, in modo che quella domanda non debba essere ricercata ogni volta da capo. Lo stesso vale per le domande sull'autenticazione a più fattori o sul controllo degli accessi: si tratta di domande separate nell'elenco, ma sostanzialmente dello stesso argomento, formulato di nuovo ogni volta in modo diverso.

Da dove provengono le dieci misure

L'articolo 21, paragrafo 2, della direttiva (UE) 2022/2555 menziona dieci categorie di misure, dall'analisi dei rischi alla crittografia al comportamento umano all'interno dell'organizzazione. L'Allegato A dello standard ISO/IEC 27001 approfondisce argomenti analoghi in misure di controllo concrete, il che spiega perché una domanda di audit e una domanda di un cliente spesso si riducono alla stessa cosa, anche se la formulazione diverge. La Legge sulla sicurezza informatica recepisce l'articolo 21 nel diritto olandese e dovrebbe entrare in vigore il 15 agosto 2026; fino a quella data la direttiva stessa è il punto di riferimento per chi vuole verificare sotto quale misura ricade una domanda.