Una startup che vuole vendere a grandi aziende non ha bisogno di una certificazione il primo giorno. Ha bisogno di una sequenza: prima saper rispondere in modo coerente e veritiero ai questionari di sicurezza dei clienti, poi avere controlli di base documentati e funzionanti, infine scegliere se e quale attestazione formale ottenere, in base ai mercati in cui vendete. Saltare i primi due passaggi per arrivare subito al certificato di solito costa di più e regge meno. Questa è una roadmap pratica per costruire l'enterprise readiness senza bloccare il prodotto.
In breve
- I clienti enterprise valutano i fornitori con questionari, clausole contrattuali e, a volte, richieste di certificazione.
- La NIS2 chiede ai soggetti in ambito di gestire la sicurezza della catena di approvvigionamento: è per questo che le domande arrivano anche a voi.
- Partite da una base di risposte standard e da pochi controlli reali: autenticazione forte, backup, gestione accessi, gestione incidenti.
- ISO/IEC 27001 e SOC 2 sono due strade diverse; la scelta dipende dai clienti e dai mercati.
- Non dichiarate mai nei questionari controlli che non avete.
Perché arrivano i questionari
Tra le misure di gestione del rischio previste dall'articolo 21 della direttiva NIS2 c'è la sicurezza della catena di approvvigionamento, compresi gli aspetti di sicurezza dei rapporti con i fornitori diretti. Lo stesso articolo chiede ai soggetti di tenere conto delle vulnerabilità specifiche di ciascun fornitore diretto e della qualità complessiva dei prodotti e delle pratiche di cybersicurezza dei fornitori.
Per una startup significa che, anche se non rientrate direttamente nella NIS2, i vostri clienti che vi rientrano vi chiederanno di dimostrare come gestite la sicurezza. Lo faranno con questionari, allegati contrattuali, richieste di evidenze e talvolta audit. Se trattate dati personali per conto dei clienti, si aggiunge il contratto di trattamento previsto dall'articolo 28 del GDPR, che tra le altre cose richiede misure di sicurezza adeguate e regole per i sub-responsabili.
Fase 1: una base di risposte vere
Il primo obiettivo è non improvvisare ogni volta. Raccogliete i questionari ricevuti, anche da prospect, e preparate un documento di risposte standard che copra i temi ricorrenti. Una buona traccia è la lista delle misure dell'articolo 21, paragrafo 2, della NIS2:
- politiche di analisi dei rischi e sicurezza dei sistemi;
- gestione degli incidenti;
- continuità operativa, backup, disaster recovery e gestione delle crisi;
- sicurezza della catena di approvvigionamento;
- sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi, compresa la gestione delle vulnerabilità;
- valutazione dell'efficacia delle misure;
- igiene informatica di base e formazione;
- crittografia e, dove opportuno, cifratura;
- sicurezza del personale, controllo degli accessi, gestione degli asset;
- autenticazione a più fattori o continua e comunicazioni protette.
Per ogni tema scrivete cosa fate oggi, in modo preciso, e cosa prevedete di fare e quando. Una risposta come "in corso di implementazione, completamento previsto nel trimestre" è accettabile; una risposta falsa no, e può emergere in un audit o dopo un incidente.
Fase 2: pochi controlli reali e documentati
Il secondo passaggio è rendere vere le risposte che contano di più. Per una startup piccola le priorità di solito sono:
- autenticazione a più fattori su posta, repository, cloud e strumenti amministrativi;
- gestione degli accessi: chi ha accesso a cosa, revisione periodica, rimozione rapida quando qualcuno esce;
- backup testati con un ripristino effettivo, non solo configurati;
- gestione delle vulnerabilità: aggiornamenti, dipendenze, una procedura per ricevere segnalazioni;
- procedura per gli incidenti: chi decide, chi avvisa i clienti, in che tempi secondo i contratti;
- inventario dei fornitori che trattano dati o hanno accesso ai sistemi.
Documentate ogni controllo con una pagina breve: cosa fa, chi ne è responsabile, come si verifica. Questi documenti diventano le evidenze da allegare ai questionari e la base per qualsiasi certificazione successiva.
Fase 3: scegliere l'attestazione giusta
Quando i clienti iniziano a chiedere una certificazione come requisito, è il momento di scegliere. Le due strade più frequenti sono diverse per natura.
- ISO/IEC 27001:2022 è lo standard per i sistemi di gestione della sicurezza delle informazioni. Definisce i requisiti che un sistema di gestione deve soddisfare e copre la gestione del rischio e il miglioramento continuo. La certificazione è facoltativa: le organizzazioni che applicano lo standard decidono se sottoporsi a un processo di certificazione.
- SOC 2 è un rapporto di attestazione emesso da revisori (CPA) sui controlli di un'organizzazione che fornisce servizi, riferito alle categorie sicurezza, disponibilità, integrità dell'elaborazione, riservatezza e privacy. Il quadro di riferimento è pubblicato dall'AICPA.
Come regola pratica, guardate dove sono i clienti che vi chiedono l'attestazione e cosa chiedono esattamente nei loro contratti. Se non lo chiedono, non c'è fretta: una base solida della fase 2 risponde a molti questionari. Prima di avviare qualsiasi percorso, fatevi fare una stima di tempi e costi da più consulenti ed enti.
Come organizzare il lavoro
- Nominate un responsabile interno, anche part-time, per i questionari e per la documentazione.
- Tenete un registro delle richieste dei clienti: cosa hanno chiesto, cosa avete risposto, quali impegni avete preso.
- Rivedete le risposte standard almeno ogni sei mesi o dopo ogni cambiamento importante dell'infrastruttura.
- Coinvolgete chi sviluppa il prodotto: molte risposte dipendono da scelte tecniche.
Cosa fare nei prossimi 90 giorni
- Raccogliete tutti i questionari e le clausole di sicurezza ricevuti finora.
- Preparate un documento di risposte standard organizzato sulle misure dell'articolo 21 NIS2.
- Attivate l'autenticazione a più fattori ovunque e fate una revisione degli accessi.
- Testate un ripristino completo da backup e documentatelo.
- Scrivete la procedura per gli incidenti e l'inventario dei fornitori.
- Preparate un modello di contratto di trattamento ex articolo 28 GDPR.
- Valutate se e quale certificazione serve guardando i contratti dei clienti; per un confronto, contattateci.
Trovate modelli e checklist nelle Risorse.
Le fonti
- Direttiva NIS2, articolo 21
- ISO, ISO/IEC 27001:2022
- AICPA-CIMA, System and Organization Controls (SOC)
- GDPR, articolo 28
Questo articolo è un orientamento generale e non sostituisce una valutazione di conformità sul vostro caso.
Iscrivetevi a Dispatch, la newsletter di PATAVIUM, per ricevere aggiornamenti su norme, sicurezza e strumenti per la vostra startup.