La Direttiva NIS2 continua a prendere forma attraverso i chiarimenti pubblicati dall’Agenzia per la Cybersicurezza Nazionale (ACN): più responsabilità al managment
Con l’aggiornamento delle FAQ dedicate agli organi di amministrazione e direttivi (ODA.8, ODA.9 e le nuove ODA.10, ODA.11 e ODA.12), l’ACN introduce importanti indicazioni interpretative che rendono più chiara l’applicazione della normativa.
Il messaggio è molto chiaro.
La cybersicurezza è una responsabilità di governance e coinvolge direttamente il vertice aziendale.
Cosa cambia davvero?
Molte aziende si sono chieste quale fosse il ruolo dell’IT, del CISO e dei consulenti esterni nell’adempimento degli obblighi previsti dalla NIS2.
Le nuove FAQ chiariscono questo aspetto.
Gli organi di amministrazione possono affidare le attività operative alle funzioni competenti, mantenendo la responsabilità delle decisioni strategiche.
In pratica:
- possono incaricare funzioni interne o partner esterni della predisposizione dei documenti e dell’attuazione delle misure di sicurezza;
- approvano gli indirizzi strategici e vigilano sulla loro applicazione.
La responsabilità finale rimane in capo agli organi di amministrazione e direttivi.
Quali documenti devono approvare gli amministratori?
L’ACN precisa che il management è chiamato ad approvare tutta la documentazione che definisce la strategia di sicurezza dell’organizzazione.
Tra questi rientrano, ad esempio:
- Politiche di sicurezza informatica;
- Valutazione dei rischi;
- Piano di trattamento del rischio;
- Piano di continuità operativa;
- Piano di Disaster Recovery;
- Piano di gestione delle crisi;
- Piano di gestione degli incidenti;
- Piano di formazione.
Questi documenti definiscono obiettivi, priorità e modalità di gestione del rischio informatico. Le procedure tecniche, le istruzioni operative e i manuali possono invece essere predisposti e aggiornati dalle strutture competenti.
Più flessibilità nella documentazione
Un altro chiarimento riguarda l’organizzazione dei documenti. L’ACN conferma che ogni organizzazione può scegliere la struttura più adatta alle proprie esigenze.
È possibile:
- raccogliere tutto in un unico documento;
- distribuire i contenuti in più documenti coordinati tra loro.
Anche la gestione degli aggiornamenti diventa più semplice.
Quando viene aggiornata una procedura tecnica richiamata nei documenti strategici, la documentazione approvata dagli organi di amministrazione continua a essere valida e non richiede una nuova approvazione.
Un chiarimento che semplifica la gestione documentale e consente alle organizzazioni di mantenere aggiornati i propri presidi con maggiore agilità.
La NIS2 punta su una governance sempre più consapevole
Le nuove FAQ confermano l’impostazione della Direttiva NIS2.
La sicurezza informatica rappresenta una componente della governance aziendale.
Il management è chiamato a definire gli indirizzi strategici, promuovere la cultura della sicurezza e supervisionare l’attuazione delle misure previste.
La cybersicurezza entra così a pieno titolo tra le responsabilità di governo dell’organizzazione.
Restare aggiornati è parte della conformità
La normativa sulla cybersicurezza è in continua evoluzione. Oltre agli obblighi previsti dalla NIS2, arrivano regolarmente linee guida, chiarimenti interpretativi e aggiornamenti che incidono sul modo in cui le organizzazioni applicano le disposizioni.
Per questo motivo è fondamentale mantenere la documentazione aggiornata e assicurarsi che processi, responsabilità e governance restino sempre allineati all’evoluzione normativa.
Un approccio strutturato alla governance della cybersicurezza consente di trasformare gli adempimenti in un sistema capace di evolvere insieme all’organizzazione, accompagnando con continuità i cambiamenti del quadro normativo.
