Questionario fornitori NIS2 (SAQ): cosa chiedere, come valutarlo e un modello gratuito

Cosa chiedere, i sei ambiti che contano

Un questionario si guadagna il suo posto essendo breve e mirato. Copri bene questi sei ambiti e fermati lì; le cinquanta caselle in più che nessuno valuta portano lunghezza, non garanzia.

Come valutare le risposte: non limitarti a raccoglierle

Un questionario archiviato e dimenticato ti è costato tempo e non ti ha dato nulla. Il valore sta nel valutarlo:

• Pondera per criticità: un «no» sull'MFA da un fornitore che custodisce i dati dei tuoi clienti pesa molto più di un documento di policy mancante di un fornitore di basso livello. Fissa i pesi prima di inviarlo, non dopo l'arrivo delle risposte.
• Leggi «in corso» come «no»: finché un controllo non è in atto e comprovato, è una lacuna con una data di rimedio, non un superamento. Le buone intenzioni non sopravvivono a un audit.
• Bada alle non risposte: risposte vaghe o evasive sono di per sé una risposta. Pretendi il concreto o prove anziché accettare una casella spuntata alla lettera.
• Riallinea la base secondo un calendario: le risposte scadono. Un questionario compilato una volta l'anno descrive un giorno, non gli undici mesi che seguono.

Cosa fare quando un fornitore resta indietro

Una lacuna non è automaticamente un motivo per scaricare un fornitore, ma deve portare da qualche parte. Concorda un piano di rimedio con responsabili e date nominati, mettilo per iscritto e rendi contrattuali le lacune sostanziali: un diritto alle prove, una data di correzione e un percorso di escalation per quando slitta.

Per i fornitori critici, lega il rimedio alla relazione: rivalutazione prima del rinnovo, clausole di sicurezza nel contratto e il diritto di chiedere prove anziché accettare rassicurazioni sulla parola. In ogni caso, registra la decisione. Accettare un rischio residuo è una scelta del tutto legittima, ma solo quando è una decisione scritta e assunta e non qualcosa scivolato tra le maglie.

Il punto cieco del questionario: l'autodichiarazione

Ogni risposta è un'affermazione che il fornitore fa su sé stesso. Alcune sono oneste, altre ottimistiche, altre semplicemente datate nel momento in cui le leggi. Un questionario ti dice cosa un fornitore crede (o vuole farti credere) della propria sicurezza; non ti dice cosa è realmente esposto su internet stamattina.

Per questo i programmi più solidi affiancano il questionario a prove tecniche esterne. Quando un fornitore scrive «sì, tutto il traffico è cifrato» e una scansione trova un certificato scaduto o un modulo di login in chiaro, hai una contraddizione che merita una conversazione. Il questionario coglie processo e intento; il monitoraggio esterno continuo lo conferma, o ne smaschera il bluff. Il punto non è scegliere l'uno. È usarli entrambi.

Un modello di questionario gratuito da adattare

Riporta queste sezioni nel tuo processo. Tieni le risposte a sì / no / in corso più un campo prova, così che ogni affermazione possa essere in seguito comprovata, o smontata.

Come aiuta norppa.io

norppa.io invia il questionario di autovalutazione ai tuoi fornitori direttamente dalla piattaforma: niente fogli di calcolo, niente rincorrere catene di e-mail. Le risposte tornano tracciate, versionate e valuta secondo la ponderazione che impostate.

La parte che conta: ogni risposta viene affiancata al profilo di rischio tecnico in tempo reale del fornitore: più di cento controlli, aggiornati ogni giorno. Dove un «sì» sicuro cozza con ciò che la scansione vede davvero, norppa.io lo segnala, così leggi non solo ciò che un fornitore dice, ma se regge. Esattamente il punto cieco della sezione precedente, chiuso.