La NIS2 mi rende responsabile come amministratore?
Con la NIS2 la sicurezza entra nel consiglio di amministrazione: approvare, sovrintendere, formarsi. Ecco cosa cambia per chi guida l'azienda.
Il problema
Per anni la sicurezza informatica è stata "una cosa dell'IT". Se succedeva qualcosa, la responsabilità scivolava verso il basso. La NIS2, recepita in Italia con il D.Lgs. 138/2024, cambia questa impostazione: porta la gestione del rischio cyber dentro l'organo di amministrazione.
Come capire se ti riguarda
- La tua azienda è un soggetto NIS (essenziale o importante), o lavora per soggetti NIS che chiedono garanzie ai fornitori.
- Il consiglio non ha mai approvato formalmente le misure di sicurezza.
- Gli amministratori non hanno seguito alcuna formazione sul rischio cyber.
Il primo passo
Chiedete al referente sicurezza un documento di due pagine: cosa chiede la NIS2 all'organo di amministrazione, a che punto siamo, cosa dobbiamo decidere. Discutetelo in consiglio e mettetelo a verbale.
Come risolverlo
- Approvate le misure. La norma chiede agli organi di amministrazione di approvare le modalità di attuazione delle misure di gestione del rischio. *Evidenza: delibera del consiglio.*
- Sovrintendete. Non basta firmare: serve seguire l'attuazione nel tempo, con aggiornamenti periodici. *Evidenza: verbali con punto sicurezza ricorrente.*
- Formatevi. Gli amministratori devono seguire una formazione, ed è buona pratica estenderla al personale. *Evidenza: attestati.*
- Nominate i ruoli. Punto di contatto verso l'ACN, Referente CSIRT, responsabilità interne chiare. *Evidenza: nomine.*
- Conoscete le conseguenze. In caso di violazione la norma prevede sanzioni per l'organizzazione e la responsabilità degli organi di amministrazione. I dettagli dipendono dalla categoria del soggetto: fateveli spiegare con precisione.
Come evitare che si ripeta
Rendete la sicurezza un tema fisso del consiglio, con un riesame almeno annuale dell'intero impianto: rischi, misure, incidenti, budget, formazione.
Quando chiedere aiuto
Per l'applicabilità e le responsabilità specifiche della vostra azienda, coinvolgete un legale insieme a un esperto NIS2. È un tema in cui l'interpretazione conta.
Dal libro
«La NIS2 chiude questa stagione, e lo fa nel modo più netto possibile: portando la responsabilità della gestione del rischio dentro l'organo di amministrazione.»
— *NIS2. La carta che guida*, capitolo 1
Uno spunto in più
Alla prossima riunione del consiglio chiedete: "Se domani avessimo un incidente grave, chi decide cosa, e in quanto tempo?". Se nessuno sa rispondere, avete trovato il primo punto all'ordine del giorno.
Schede collegate
Abbiamo i backup ma non sappiamo se ripartiamo
Un backup non dimostra che ripartirete: servono priorità, ruoli e prove di ripristino registrate.
Abbiamo i documenti NIS2 ma restano nel cassetto
Politiche scritte per l'audit e mai lette: un documento utile non descrive il passato, indica la direzione. Ecco come farlo vivere.
Abbiamo i log ma nessuno li guarda
Firewall, server, posta registrano tutto, ma se nessuno legge, l'attaccante resta invisibile per settimane. Ecco come trasformare i log in occhi.