il questionario chiede se sottoponiamo i dipendenti a controlli prima dell'assunzione

Lo screening del personale rientra nella sicurezza delle risorse umane, non nel controllo dell'accesso

La domanda relativa allo screening in fase di assunzione rientra nella sicurezza del personale, una delle dieci misure di cui all'articolo 21, paragrafo 2, della direttiva NIS2 — menzionata esplicitamente al punto (g), insieme alle condizioni di lavoro e alle misure disciplinari in caso di violazioni. Si tratta di una categoria diversa dal controllo dell'accesso: lo screening riguarda chi assumi, politica di accesso, riguarda ciò che una persona può vedere o fare una volta dentro. Quindi non compilare automaticamente "sì" a questa domanda solo perché esiste già una matrice di accesso — si tratta di un documento probatorio diverso.

Quale prova sia rilevante dipende da ciò che accade nella pratica. Un obbligo di VOG (verklaring omtrent het gedrag) per posizioni che hanno accesso a sistemi sensibili è la prova più concreta. In sua assenza, conta anche una procedura fissa nel processo di assunzione: verifica dei referenti, verifica dell'identità, e nelle aziende certificate ISO 27001 la clausola di screening di cui all'Allegato A 6.1 (precedente all'inizio del rapporto di lavoro). Senza certificazione ISO e senza una politica di screening, la risposta è solitamente "no" o "parzialmente" — ed è perfettamente corretto compilarla così. Non inventare un processo di screening che non esiste; se il cliente pone domande di approfondimento, un onesto "no, sì per le posizioni X e Y" è più solido di un sì che non regge in una verifica.

Fonte: articolo 21, paragrafo 2, lettera g), e Allegato A 6.1

Le dieci misure di cui all'articolo 21, paragrafo 2, della direttiva NIS2 menzionano esplicitamente la sicurezza del personale al punto (g), insieme al controllo dell'accesso e alla gestione dei beni aziendali. Nella pratica, questo viene spesso valutato insieme a formazione in materia di cybersicurezza,, perché entrambi rientrano nella medesima politica in materia di risorse umane. Per le aziende in possesso di una certificazione ISO 27001, la misura di controllo correlata si trova nell'Allegato A, sotto la clausola relativa allo screening precedente l'inizio del rapporto di lavoro — verifica quindi se il certificato ISO 27001 dell'azienda copre questa clausola, perché non tutti i certificati hanno lo stesso ambito di applicazione. Per le aziende che rientreranno nella legge sulla sicurezza informatica solo dopo il 15 agosto 2026, questo non è ancora un obbligo legale, ma i clienti spesso lo chiedono già in anticipo in vista degli obblighi della catena di fornitura.