Adempimenti | DPIA | Vulnerability Assessment | Servizio DPO | Normativa | News | Consulenti | Prezzi | Contattaci
- Numero verde 800 62 89 74
Formazione e awareness
Il contesto e il problema
La NIS2 riconosce che il fattore umano è tra i principali vettori di rischio: gran parte degli incidenti origina da comportamenti — phishing, social engineering, errori di gestione delle credenziali — prima ancora che da vulnerabilità puramente tecniche. Per questo la formazione non è un corollario, ma un obbligo normativo su due livelli.
Da un lato, l'art. 23 del Decreto NIS impone agli organi di amministrazione e direttivi di seguire una formazione in materia di cybersicurezza e di promuovere l'offerta di formazione al personale. Dall'altro, tra gli ambiti delle misure di gestione del rischio, l'art. 24 include le pratiche di igiene informatica di base e la formazione in materia di cybersicurezza. La formazione è quindi un adempimento autonomo e documentabile, il cui mancato assolvimento contribuisce all'esposizione sanzionatoria degli organi di vertice.
Il problema per l'organizzazione è passare da iniziative episodiche a un programma formativo strutturato e differenziato: contenuti e livelli di approfondimento diversi per gli organi apicali, per il personale IT e per la generalità dei dipendenti, con tracciamento della partecipazione e aggiornamento periodico.
Il servizio di IusPrivacy
IusPrivacy progetta ed eroga programmi di formazione e sensibilizzazione calibrati sui diversi destinatari e conformi agli obblighi NIS2:
- Formazione dedicata agli organi di amministrazione e direttivi, in attuazione dell'obbligo dell'art. 23, focalizzata su responsabilità, governance del rischio e obblighi decisionali.
- Formazione tecnico-operativa per le funzioni IT e security sui requisiti applicabili.
- Awareness per il personale su phishing, gestione delle password, social engineering, uso della MFA, sicurezza dei dispositivi e del lavoro da remoto, sicurezza fisica.
- Assessment delle competenze e definizione di percorsi differenziati per ruolo e comparto organizzativo.
- Tracciamento e attestazione della formazione svolta, a supporto della documentazione di conformità.
Cosa ottieni
- Un piano formativo differenziato per vertici, IT e personale.
- Materiali e sessioni conformi agli obblighi NIS2.
- Un registro della formazione con attestazioni della partecipazione.
- Un programma di aggiornamento periodico dell'awareness aziendale.
La formazione è un obbligo di legge, a partire dal CdA. Costruiamo con te un programma formativo differenziato e documentato, pronto a reggere a una verifica.
FAQ
D. La formazione degli amministratori è davvero obbligatoria?
R. Sì. L'art. 23 del Decreto NIS impone agli organi di amministrazione e direttivi di seguire una formazione in materia di cybersicurezza. È un obbligo autonomo, distinto dalla formazione del personale, e va documentato.
D. Ogni quanto va ripetuta la formazione?
R. La normativa non fissa una periodicità rigida ma richiede un'offerta di formazione adeguata e aggiornata. In pratica si struttura un programma con sessioni periodiche e aggiornamenti in occasione di novità normative o di nuovi rischi.
D. Serve una formazione diversa per reparti diversi?
R. Sì. Un programma efficace differenzia contenuti e profondità per destinatario: gli organi di vertice, le funzioni IT e la generalità dei dipendenti hanno esigenze diverse. Partiamo da un assessment delle competenze per calibrare i percorsi.
D. Come dimostro all'ACN di aver formato il personale?
R. Attraverso un registro della formazione con attestazioni di partecipazione, materiali e programmi. Questa documentazione entra nel dossier di conformità e supporta la posizione degli organi di vertice in caso di verifica.