NIS2: Il CdA non può scaricare la cyber security sul CISO – Le nuove FAQ ACN chiariscono

Il CISO non è un parafulmine: la responsabilità resta al CdA

Le nuove FAQ dell'Agenzia per la Cybersicurezza Nazionale (ACN) hanno messo nero su bianco ciò che molti speravano di evitare: la nomina di un Chief Information Security Officer (CISO) non esonera il Consiglio di Amministrazione dalle proprie responsabilità in materia di cybersecurity ai sensi della direttiva NIS2. In pratica, il CdA può delegare le attività operative, ma non la responsabilità finale. È come se il presidente di una banca dicesse: 'Ho assunto un cassiere, quindi se spariscono i soldi non sono affari miei'. Non funziona così.

Featured Snippet: Qual è il ruolo del CdA nella NIS2?

Secondo le FAQ ACN, il Consiglio di Amministrazione deve governare e supervisionare la cybersecurity aziendale, approvando politiche, valutando rischi e assicurando risorse adeguate. La delega operativa al CISO è possibile, ma la responsabilità ultima rimane in capo agli amministratori.

Cosa dicono le nuove FAQ ACN

Le FAQ, pubblicate il [data], specificano che gli obblighi NIS2 richiedono un coinvolgimento attivo del CdA nella definizione delle strategie di sicurezza. Non basta nominare un CISO e dormire sonni tranquilli. Il Consiglio deve periodicamente ricevere report, approvare il piano di risposta agli incidenti e garantire la conformità. In caso di violazione, saranno i membri del CdA a rispondere, non il CISO.

Un parallelismo con la vita quotidiana

Pensate al CdA come al proprietario di una casa: può assumere un giardiniere per curare il prato, ma se l'impianto elettrico prende fuoco, è il proprietario a dover rispondere ai vigili del fuoco e all'assicurazione. Allo stesso modo, il CISO è il giardiniere della cybersecurity, ma il CdA resta il proprietario dell'azienda.

Cosa devono fare i Consigli di Amministrazione

Per adeguarsi alle indicazioni ACN, i CdA dovrebbero:

• Integrare la cybersecurity nell'agenda di ogni riunione.
• Approvare una politica di sicurezza informatica formale.
• Assicurarsi che il CISO abbia accesso diretto al board.
• Prevedere audit periodici e test di penetrazione.
• Stanziare un budget adeguato per la sicurezza.

In pratica, il CdA deve passare da un ruolo passivo ('ci pensa l'IT') a uno attivo di governance. Chi non lo farà rischia sanzioni pesanti, come previsto dalla direttiva NIS2 (EUR-Lex).

FAQ