il questionario chiede se abbiamo avuto un incidente informatico negli ultimi anni

Una domanda su un incidente riguarda i fatti, non l'immagine

La domanda se hai avuto un incidente di sicurezza informatica negli ultimi anni richiede una risposta fattuale: sì o no, e in caso affermativo solitamente con una breve spiegazione sulla natura, l'impatto e la gestione. Non esiste una risposta giusta o sbagliata — un "sì" con una gestione corretta è spesso più credibile per molti clienti rispetto a un "no" non motivato da parte di un fornitore che non può dimostrare nulla sulla sua sicurezza. Quello che conta: riesci a provare la tua risposta?

Se c'è stato un incidente, la prova non è l'incidente stesso ma la sua gestione: è stato segnalato, indagato e affrontato secondo una procedura fissa? Esattamente quello che la procedura per la gestione degli incidenti di sicurezza chiede, e i clienti spesso combinano questa domanda con quelle due. Se non c'è stato alcun incidente, la risposta è "no", eventualmente con un riferimento alle misure di rilevamento che lo dimostrano — vedi il processo di identificazione e correzione delle vulnerabilità. Senza un registro o un registro degli incidenti, "no" rimane comunque una risposta valida, ma senza una prova sottostante; puoi menzionarlo nella spiegazione invece di inventare una prova che non esiste.

Perché rientra tra le dieci misure

La gestione degli incidenti ("incident handling") è una delle dieci misure concrete che l'articolo 21, paragrafo 2, della direttiva NIS2 (Direttiva (UE) 2022/2555) elenca come parte della politica di sicurezza di un'entità. Nell'attuazione olandese attraverso la Legge sulla sicurezza informatica — che entrerà in vigore il 15 agosto 2026 — lo stesso requisito si ritrova per le entità che rientrano in quella legge. In pratica, una domanda su incidenti precedenti è spesso un test indiretto sulla questione se l'organizzazione ha un processo per gli incidenti, non solo sull'incidente stesso. Chi applica ISO/IEC 27001 riconosce lo stesso tema nell'Annex A, tra le misure di controllo per la "information security incident management".