NIS2: il CdA ora non può più delegare la cybersicurezza (e le FAQ ACN lo confermano)
Indice dei Contenuti
Il Consiglio di Amministrazione sotto la lente della NIS2
Avete mai provato a delegare la scelta delle tende della sala riunioni? Forse sì. Ma delegare la gestione del rischio cyber? Con la direttiva NIS2, il Consiglio di Amministrazione non può più scappare: alcune responsabilità sono personalissime, come firmare l'assegno per la cauzione del noleggio auto. Le recenti FAQ dell'Agenzia per la Cybersicurezza Nazionale (ACN) hanno finalmente fatto chiarezza su quali attività devono restare saldamente in capo al CdA, e quali possono essere passate a delegati o dirigenti. Se pensavate che la cybersecurity fosse un problema solo per il CISO, preparatevi a rivedere l'agenda del prossimo board meeting.
Quali sono gli obblighi non delegabili del CdA secondo la NIS2?
Secondo le FAQ ACN, il CdA deve approvare personalmente le misure di gestione dei rischi cyber, sovrintendere all'implementazione e verificare periodicamente l'efficacia. Niente più 'firma e dimentica': il board è responsabile in prima persona per eventuali falle, e non può rifugiarsi dietro la delega a un comitato ristretto. Tradotto: se la rete aziendale viene violata, i consiglieri non possono dire 'non lo sapevamo'.
Attività non delegabili: il cuore della governance cyber
Le FAQ specificano che le decisioni strategiche in materia di cybersecurity – come l'approvazione del framework di risk management, la definizione della tolleranza al rischio e l'allocazione delle risorse – sono indelegabili. In pratica, il CdA deve mettere le mani nella crema del risk assessment, non solo assaggiare il dolce finito. Un consiglio: preparatevi a sessioni di formazione intensiva sui concetti base del cyber, perché leggere un report di 50 pagine di vulnerabilità tecniche è noioso quanto pulire le fughe delle piastrelle con uno spazzolino. Ma è necessario.
Cosa possono invece delegare?
Le attività operative, come la gestione quotidiana degli incidenti o l'esecuzione dei piani di remediation, possono essere affidate al management. Ma – e il 'ma' è grosso – il CdA deve mantenere la supervisione e ricevere report periodici. Non si tratta di micro-management, ma di accountability: se il capitano non guarda la rotta, la nave finisce sugli scogli. E con le sanzioni previste dalla NIS2 (fino al 10% del fatturato annuo o 10 milioni di euro), gli scogli sono molto costosi.
Come adeguarsi: una checklist per il board
Per evitare multe salate e danni reputazionali, il CdA dovrebbe: 1) Approvare formalmente una politica di gestione dei rischi cyber; 2) Nominare un referente interno per la cybersecurity (non necessariamente un CISO, ma qualcuno che parli al board); 3) Programmare revisioni periodiche delle misure adottate; 4) Integrare la cybersecurity nei processi di due diligence per acquisizioni e partnership. Ricordate: la NIS2 non è un optional, è un obbligo di legge. E ignorarla è come non fare il tagliando all'auto e sperare che il motore non si fonda.
FAQ
1. Cosa si intende per obblighi non delegabili del CdA nella NIS2?
Gli obblighi non delegabili includono l'approvazione delle misure di gestione dei rischi cyber, la definizione della strategia di sicurezza e la supervisione dell'implementazione. Il CdA non può trasferire queste responsabilità a delegati o dirigenti.
2. Come deve il CdA approvare le misure di gestione dei rischi cyber?
Il CdA deve formalmente deliberare l'adozione delle misure, documentare la decisione e assicurarsi che siano periodicamente riviste. Le FAQ ACN richiedono un'approvazione esplicita e non una generica 'presa d'atto'.
3. Quali sono le sanzioni per chi non rispetta la NIS2?
Le sanzioni possono arrivare fino al 10% del fatturato annuo globale o 10 milioni di euro, oltre a possibili responsabilità personali per i consiglieri. La direttiva prevede anche misure correttive e divieti temporanei di esercizio.
Per approfondire le FAQ ufficiali dell'ACN, consulta il sito dell'Agenzia per la Cybersicurezza Nazionale o il testo completo della direttiva su EUR-Lex.
Checklist: Attività del CdA in materia NIS2
Comitato Editoriale NakedPact
Articolo ideato dalla redazione di NakedPact. La nostra missione è analizzare, semplificare e svelare le clausole vessatorie e i rischi nascosti presenti nei contratti di uso quotidiano, per proteggere i cittadini e i consumatori.
Fonti e Riferimenti Normativi
Sei titolare di un sito web?
Vuoi comunicare ai tuoi utenti la tua trasparenza nel trattare i dati? Utilizza in maniera dinamica il nostro badge e mostra la conformità della tua piattaforma.
Letture Consigliate
🛡️ Proteggi i tuoi diritti con un clic
Non rischiare di firmare clausole abusive. Installa l'estensione gratuita di NakedPact per Chrome o Firefox e analizza all'istante qualsiasi contratto sul web.
Non fidarti, verifica.
Ora che sai quali sono i rischi, non firmare alla cieca. Carica il tuo contratto su NakedPact e lascia che l'Intelligenza Artificiale trovi le clausole nascoste per te. È 100% gratuito.
Analizza il tuo Contratto Ora