Questionario fornitori NIS2 (SAQ): cosa chiedere, come valutarlo e un modello gratuito

Cosa chiedere, i sei ambiti che contano

Un questionario si guadagna il suo posto essendo breve e mirato. Coprite bene questi sei ambiti e fermatevi lì; le cinquanta caselle in più che nessuno valuta portano lunghezza, non garanzia.

Come valutare le risposte: non limitatevi a raccoglierle

Un questionario archiviato e dimenticato vi è costato tempo e non vi ha dato nulla. Il valore sta nel valutarlo:

• Ponderate per criticità: un "no" sull'MFA da un fornitore che custodisce i dati dei vostri clienti pesa molto più di un documento di policy mancante di un fornitore di basso livello. Fissate i pesi prima di inviarlo, non dopo l'arrivo delle risposte.
• Leggete "in corso" come "no": finché un controllo non è in atto e comprovato, è una lacuna con una data di rimedio, non un superamento. Le buone intenzioni non sopravvivono a un audit.
• Badate alle non risposte: risposte vaghe o evasive sono di per sé una risposta. Pretendete il concreto o prove anziché accettare una casella spuntata alla lettera.
• Riallineate la base secondo un calendario: le risposte scadono. Un questionario compilato una volta l'anno descrive un giorno, non gli undici mesi che seguono.

Cosa fare quando un fornitore resta indietro

Una lacuna non è automaticamente un motivo per scaricare un fornitore, ma deve portare da qualche parte. Concordate un piano di rimedio con responsabili e date nominati, mettetelo per iscritto e rendete contrattuali le lacune sostanziali: un diritto alle prove, una data di correzione e un percorso di escalation per quando slitta.

Per i fornitori critici, legate il rimedio alla relazione: rivalutazione prima del rinnovo, clausole di sicurezza nel contratto e il diritto di chiedere prove anziché accettare rassicurazioni sulla parola. In ogni caso, registrate la decisione. Accettare un rischio residuo è una scelta del tutto legittima, ma solo quando è una decisione scritta e assunta e non qualcosa scivolato tra le maglie.

Il punto cieco del questionario: l'autodichiarazione

Ogni risposta è un'affermazione che il fornitore fa su sé stesso. Alcune sono oneste, altre ottimistiche, altre semplicemente datate nel momento in cui le leggete. Un questionario vi dice cosa un fornitore crede (o vuole farvi credere) della propria sicurezza; non vi dice cosa è realmente esposto su internet stamattina.

Per questo i programmi più solidi affiancano il questionario a prove tecniche esterne. Quando un fornitore scrive "sì, tutto il traffico è cifrato" e una scansione trova un certificato scaduto o un modulo di login in chiaro, avete una contraddizione che merita una conversazione. Il questionario coglie processo e intento; il monitoraggio esterno continuo lo conferma, o ne smaschera il bluff. Il punto non è scegliere l'uno. È usarli entrambi.

Un modello di questionario gratuito da adattare

Riportate queste sezioni nel vostro processo. Tenete le risposte a sì / no / in corso più un campo prova, così che ogni affermazione possa essere in seguito comprovata, o smontata.

Come aiuta norppa.io

norppa.io invia il questionario di autovalutazione ai vostri fornitori direttamente dalla piattaforma: niente fogli di calcolo, niente rincorrere catene di e-mail. Le risposte tornano tracciate, versionate e valutate secondo la ponderazione che impostate.

La parte che conta: ogni risposta viene affiancata al profilo di rischio tecnico in tempo reale del fornitore: più di cento controlli, aggiornati ogni giorno. Dove un "sì" sicuro cozza con ciò che la scansione vede davvero, norppa.io lo segnala, così leggete non solo ciò che un fornitore dice, ma se regge. Esattamente il punto cieco della sezione precedente, chiuso.