NIS2：董事会的网络风险责任不可推卸——哪些职责不能委托？

想象一下，你作为公司董事，却被告知网络安全决策不能交给别人——甚至不能交给技术专家。听起来像是官僚噩梦？但这正是NIS2对董事会的要求。ACN（意大利国家网络安全局）发布的FAQ强调了哪些职责是不可委托的，以及如何正式批准风险措施。这不是为了增加负担，而是确保最高管理层真正掌握风险。

哪些职责不能委托？

Featured Snippet Bait: 根据ACN最新FAQ，NIS2要求董事会必须亲自批准网络安全风险管理措施，并且不能将决策职责委托给他人。这意味着董事们需要真正理解风险并承担责任。

FAQ明确指出，董事会有责任批准整体的网络安全风险管理框架，设定风险偏好，并确保资源分配。这些核心决策不能委托给下属委员会或管理层。如ACN所说，董事会必须对网络风险有一个宏观并且细致的把握——类比于船长在风暴中必须亲自掌舵，而不是只靠水手。

如何合规？

企业需要将网络安全纳入董事会议程，定期接收详尽的风险报告，并记录所有决策过程。记住，如果董事会成员认为网络风险只是CIO的噩梦，那就好比是睡在蚊帐里却把蚊帐门敞开——自欺欺人。具体步骤包括：

• 正式批准年度网络安全计划；
• 界定风险容忍度；
• 定期审查措施有效性；
• 确保有独立的审计或第三方评估。

更多细节可参考NIS2指令官方文本。

不要等到被制裁或出事才行动。立即评估您的董事会流程是否符合NIS2要求。

FAQ