come compilo il fatto che i dipendenti possono segnalare un incidente di sicurezza

Il canale di segnalazione interno è la prova, non un'intenzione

Questa domanda riguarda il canale di segnalazione in sé: se i dipendenti possono segnalare un incidente internamente e se lo fanno effettivamente. È qualcosa di diverso dalla domanda se l'organizzazione registra o gestisce gli incidenti — questo rientra in la procedura per la gestione degli incidenti di sicurezza. Qui il cliente vuole sapere specificamente se esiste una strada a bassa soglia e conosciuta attraverso la quale un dipendente può sollevare una questione: un indirizzo e-mail, un sistema di ticket, un nome sulla intranet. La prova non è quindi la procedura nel complesso, ma il canale concreto più qualcosa che dimostri che i dipendenti conoscono quel canale — uno screenshot della intranet, un passo dal documento di onboarding, o una slide di formazione.

Se non l'hai documentato separatamente, allora "no" o "parziale" è la risposta onesta, anche se esiste effettivamente una procedura di gestione degli incidenti utilizzata solo dal team IT. Non inserire "sì" basandoti solo sulla procedura; la domanda verifica la consapevolezza e l'accessibilità, non solo il processo. Se esiste una formazione sulla consapevolezza che tratta il canale di segnalazione, quella è spesso la prova più forte — confrontala con la formazione nelle pratiche di base per l'igiene informatica, perché le due risposte devono essere coerenti tra loro. Se non corrisponde, ciò può essere notato più facilmente in un campione di audit rispetto a una singola prova mancante.

Fonte: articolo 21 paragrafo 2 e Allegato A

Questo obbligo deriva dall'articolo 21, paragrafo 2 della direttiva NIS2, dove la gestione degli incidenti è una delle dieci misure obbligatorie; il Cybersecurity Act lo recepisce nel diritto olandese a partire dal 15 agosto 2026. ISO/IEC 27001 lo sviluppa nell'Allegato A fino al livello dei canali di segnalazione e della consapevolezza, e i clienti che utilizzano un questionario ISO spesso chiedono letteralmente a quel punto di controllo dell'Allegato A. Se l'organizzazione stessa è certificata, questa prova di solito è già disponibile — vedi il certificato ISO 27001 per come renderlo dimostrabile.