Governance della cybersicurezza

Il contesto e il problema

La NIS2 introduce un cambio di paradigma: la cybersicurezza cessa di essere una questione delegata alla sola funzione IT e diventa una responsabilità dell'organo di gestione. L'art. 23 del Decreto NIS (che recepisce l'art. 20 della Direttiva) coinvolge esplicitamente gli organi di amministrazione e direttivi — il consiglio di amministrazione e le figure a esso equiparabili per ruolo e funzioni — attribuendo loro obblighi puntuali.

In particolare, gli organi di vertice devono: approvare le modalità di implementazione delle misure di gestione dei rischi; sovrintendere alla loro attuazione, nonché agli obblighi di notifica di incidente e di registrazione; rispondere delle violazioni del Decreto NIS; seguire una formazione in materia di cybersicurezza e promuovere la formazione del personale.

Il punto critico per il management è la responsabilità personale. L'art. 38 del Decreto NIS sanziona espressamente la mancata osservanza degli obblighi imposti dall'art. 23 agli organi di amministrazione e direttivi. Le sanzioni pecuniarie raggiungono i 10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali e i 7 milioni o l'1,4% per gli importanti; a ciò si aggiunge la possibile misura interdittiva dell'incapacità di svolgere funzioni dirigenziali in caso di reiterato inadempimento alle diffide dell'Autorità. Qualsiasi persona fisica responsabile del soggetto, o che ne abbia la rappresentanza legale, può essere ritenuta responsabile dell'inadempimento.

Il servizio di IusPrivacy

IusPrivacy struttura la governance della cybersicurezza in modo che gli organi di vertice possano esercitare — e documentare — il ruolo che la normativa attribuisce loro, riducendo l'esposizione a responsabilità personale:

Definizione di ruoli e responsabilità in materia di cybersicurezza a livello di CdA e di alta direzione, con un modello di deleghe coerente.
Predisposizione delle policy di approvazione e supervisione delle misure di gestione del rischio, formalizzate in delibere e atti di indirizzo.
Progettazione dei flussi informativi verso gli organi apicali (reportistica periodica, informativa tempestiva in caso di incidenti).
Documentazione a prova di verifica, idonea a dimostrare all'Autorità il coinvolgimento effettivo degli organi di vertice.
Formazione dedicata agli organi di amministrazione e direttivi, in attuazione dell'obbligo formativo previsto dall'art. 23.

Cosa ottieni

Un modello di governance della cybersicurezza formalizzato (ruoli, deleghe, atti di indirizzo).
Un set di delibere e policy che documentano l'approvazione e la supervisione delle misure da parte degli organi di vertice.
Un sistema di reportistica verso il CdA su rischi, incidenti e stato di conformità.
Un'attestazione della formazione svolta dagli organi apicali.

La responsabilità NIS2 arriva fino al CdA. Aiutiamo i tuoi organi di vertice a esercitare e documentare il proprio ruolo, mettendoli al riparo da contestazioni personali.

FAQ

D. Gli amministratori rischiano davvero in prima persona?

R. Sì. L'art. 38 del Decreto NIS sanziona la mancata osservanza degli obblighi che l'art. 23 pone in capo agli organi di amministrazione e direttivi, ed è prevista anche una misura interdittiva in caso di inadempimento reiterato alle diffide. Documentare il corretto esercizio del ruolo è la principale forma di tutela.

D. Cosa significa in concreto che il CdA deve "approvare" le misure?

R. Significa che l'adozione delle misure di gestione del rischio deve passare da una decisione consapevole e tracciata degli organi di vertice, non da una scelta esclusivamente tecnica. Serve quindi un percorso deliberativo documentato, con flussi informativi adeguati a monte.

D. La formazione degli amministratori è obbligatoria?

R. Sì. L'art. 23 impone agli organi di amministrazione e direttivi di seguire una formazione in materia di cybersicurezza e di promuovere quella del personale. È un obbligo autonomo, la cui attuazione va documentata.

D. Chi risponde se la funzione IT ha esternalizzato la sicurezza a un fornitore?

R. L'esternalizzazione non trasferisce la responsabilità: gli organi di vertice restano tenuti a sovrintendere e ad approvare le misure. La gestione dei fornitori va anzi presidiata anche sotto il profilo della sicurezza della catena di approvvigionamento.