il cliente chiede come rispondiamo a un incidente informatico, come lo compilo

Piano di risposta agli incidenti: processo, non solo documento

La domanda sul piano di risposta agli incidenti riguarda come l'organizzazione reagisce una volta rilevato un incidente di sicurezza: chi viene avvisato, chi decide sull'escalation, come viene avviato il ripristino e come viene segnalato ai clienti o alle autorità di vigilanza. Un formato spesso chiede il documento stesso — il piano di risposta agli incidenti o la descrizione della procedura — ma la maggior parte degli acquirenti verifica implicitamente anche se il piano è mai stato utilizzato o testato. Una risposta "sì, esiste un piano" senza che sia mai stata condotta un'esercitazione o un incidente reale, è tecnicamente corretta ma debole; indicare che esiste una procedura e cosa si può dimostrare al riguardo, come un rapporto di test o una valutazione dopo un incidente precedente.

Se manca un piano formalmente testato, allora un "no" con una breve spiegazione è meglio di un "sì" compilato senza documentazione sottostante. Alcuni clienti chiedono specificamente i termini di notifica verso di loro come fornitore — si tratta di un accordo contrattuale, non automaticamente lo stesso termine di un obbligo di notifica legale. Non confondere i due nella risposta: ciò che prometti al tuo cliente in un SLA è indipendente da ciò che eventualmente deve essere segnalato a un'autorità di vigilanza. Questa domanda è spesso correlata a la procedura per la gestione degli incidenti di sicurezza, e alla domanda se il ripristino e il failover sono ben organizzati tramite backup e un'infrastruttura di contingenza — un formato a volte distribuisce questo su più domande che nel dossier appartengono insieme.

Fondamento: articolo 21 paragrafo 2 NIS2 e Allegato A

La gestione degli incidenti è elencata come misura separata nell'articolo 21 paragrafo 2 della direttiva NIS2, insieme all'analisi dei rischi e alla continuità aziendale — è una delle dieci misure che la direttiva distingue. ISO/IEC 27001 la specifica nelle misure di controllo dell'Allegato A, dove la gestione degli incidenti costituisce una categoria a sé con requisiti per il rilevamento, la risposta e la valutazione. La Legge sulla cibersicurezza recepisce questo obbligo nel diritto olandese e dovrebbe entrare in vigore il 15 agosto 2026; fino a quella data, l'allineamento con la direttiva stessa è il punto di partenza per sostenere una risposta.