Questionario fornitori NIS2 (SAQ): cosa chiedere, come valutarlo e un modello gratuito

Cosa chiedere — i sei ambiti che contano

Un buon questionario è breve e orientato alla decisione. Copri questi sei ambiti; resisti alla tentazione di aggiungere cinquanta caselle in più che nessuno valuterà.

Come valutare le risposte — non limitarti a raccoglierle

Un questionario aggiunge valore solo se le risposte cambiano una decisione. Valutale, non archiviarle e basta:

• Pondera in base alla criticità — un 'no' alla MFA da un fornitore che detiene i tuoi dati clienti pesa più di un documento di policy mancante di un fornitore minore. Pondera le domande prima di inviarle.
• Tratta 'in corso' come 'no' — finché un controllo non è attivo e comprovato, valutalo come una lacuna con una data di rimedio, non come superato.
• Segnala le non risposte — risposte vaghe o evasive sono di per sé un segnale. Richiedi dettagli concreti o prove invece di una casella spuntata.
• Riallinea la baseline secondo un calendario — le risposte scadono. Un questionario annuale riflette un solo giorno, non l'anno che segue.

Cosa fare quando un fornitore è carente

Una lacuna non è automaticamente un motivo per abbandonare un fornitore — ma deve portare da qualche parte. Concorda un piano di rimedio con responsabili e date, mettilo a verbale e rendi contrattuali le lacune rilevanti: un diritto alle prove, una data di correzione e un percorso di escalation se slitta.

Per i fornitori critici, lega il rimedio alla relazione: rivalutazione prima del rinnovo, clausole di sicurezza nel contratto e diritto di richiedere prove — non solo affermazioni. Documenta comunque la decisione. Accettare un rischio residuo è una scelta legittima, ma solo quando è una decisione registrata e assunta, non una svista.

Il punto cieco del questionario: l'autodichiarazione

Ogni risposta di un questionario è un'affermazione che il fornitore fa su sé stesso. Alcune sono oneste, altre ottimistiche, altre semplicemente superate quando le leggi. Un questionario ti dice cosa un fornitore crede — o vuole farti credere — della propria sicurezza, non cosa è realmente esposto su internet.

Per questo i programmi più solidi abbinano il SAQ a prove tecniche esterne. Se un fornitore risponde 'sì, tutto il traffico è cifrato' ma una scansione trova un certificato scaduto o un form di login in chiaro, hai una contraddizione che merita un confronto. Il questionario cattura processo e intenzione; il monitoraggio esterno continuo lo corrobora — o lo mette in discussione. Usa entrambi.

Un modello di questionario gratuito da adattare

Copia queste sezioni nel tuo processo. Mantieni le risposte su sì / no / in corso più un campo prova, così ogni affermazione potrà essere supportata in seguito.

Come aiuta norppa.io

norppa.io invia i questionari di autovalutazione (SAQ) ai tuoi fornitori direttamente dalla piattaforma — niente fogli di calcolo, niente rincorse via email. Le risposte sono tracciate, versionate e valutate secondo la ponderazione del rischio sopra.

Soprattutto: ogni risposta SAQ viene incrociata con il profilo di rischio tecnico in tempo reale del fornitore (oltre 100 controlli, ogni giorno). Quando un'affermazione positiva contraddice ciò che osserviamo, norppa.io la segnala come supportata da prove — così vedi non solo cosa dicono i fornitori, ma se regge. Il punto cieco del questionario, colmato.