L’Agenzia per la Cybersicurezza Nazionale aggiorna le FAQ sugli adempimenti dei soggetti NIS. Chiarito cosa deve essere approvato dagli organi aziendali e cosa può restare nella gestione tecnica e operativa delle funzioni competenti.

L’Agenzia per la Cybersicurezza Nazionale ha aggiornato le FAQ dedicate agli obblighi degli organi di amministrazione e direttivi dei soggetti NIS, intervenendo su uno degli aspetti più discussi dell’attuazione della direttiva NIS 2.

L’aggiornamento riguarda le FAQ ODA.8 e ODA.9, che sono state integrate, e introduce tre nuove FAQ: ODA.10, ODA.11 e ODA.12. Il punto centrale è la distinzione tra responsabilità strategica degli organi di vertice e gestione tecnico-operativa delle misure di cybersicurezza.

La novità è rilevante per imprese e pubbliche amministrazioni soggette alla disciplina NIS, perché chiarisce quali documenti devono essere approvati dagli organi di amministrazione e direttivi e quali, invece, possono essere gestiti dalle funzioni competenti senza un nuovo passaggio formale al vertice.

Cosa devono approvare gli organi di amministrazione

La FAQ ODA.10 chiarisce che i documenti sottoposti all’approvazione degli organi di amministrazione e direttivi devono declinare le misure di sicurezza almeno a livello di indirizzo e pianificazione strategica.

In altre parole, al vertice spetta l’approvazione dell’impianto generale: politiche, obiettivi, responsabilità, indirizzi e criteri con cui il soggetto NIS intende governare il rischio cyber.

Il dettaglio tecnico e operativo può invece essere disciplinato in altri documenti: procedure, istruzioni operative, manuali, linee guida interne o altri presidi predisposti dalle funzioni aziendali o amministrative competenti.

Per questi documenti tecnici non è richiesta l’approvazione degli organi di amministrazione e direttivi.

La distinzione è importante perché evita di appesantire eccessivamente i processi decisionali. Gli organi di vertice restano responsabili dell’indirizzo e del controllo strategico, ma non devono approvare ogni singolo documento operativo collegato alla sicurezza informatica.

Come organizzare la documentazione

Le FAQ ODA.11 e ODA.12 confermano che il soggetto NIS può organizzare liberamente il proprio impianto documentale.

La documentazione può essere raccolta in un unico documento oppure distribuita tra più documenti, a seconda della struttura organizzativa, della complessità del soggetto e del modello di gestione adottato.

Gli ulteriori presidi tecnici e organizzativi richiamati nei documenti strategici non devono essere approvati dagli organi di amministrazione e direttivi.

Altro chiarimento rilevante: l’aggiornamento di procedure, istruzioni operative o manuali tecnici non obbliga a sottoporre nuovamente all’approvazione i documenti strategici che li richiamano.

Questo significa che, se cambia una procedura operativa collegata a una policy cyber già approvata, non serve necessariamente riportare l’intero documento strategico all’attenzione del consiglio di amministrazione o dell’organo direttivo.

Cosa può essere delegato

Le FAQ ODA.8 e ODA.9 precisano meglio il confine tra responsabilità degli organi e attività operative.

L’approvazione dei documenti previsti dall’articolo 23 del decreto NIS resta di competenza esclusiva dell’organo collegiale o, ove previsto, dell’organo monocratico.

Questa funzione non può essere trasferita a singoli componenti, ad altri organi o alle funzioni aziendali. La responsabilità di approvare l’impianto strategico resta quindi in capo al vertice.

Può invece essere delegato lo svolgimento delle attività necessarie alla concreta attuazione degli obblighi. Le funzioni tecniche, legali, compliance, IT, security o risk management possono quindi predisporre documenti, aggiornare procedure, eseguire attività operative e curare l’implementazione delle misure.

Una semplificazione concreta

L’aggiornamento delle FAQ introduce una semplificazione reale per i soggetti NIS, senza ridurre il livello di responsabilità richiesto dalla normativa.

Gli organi di amministrazione e direttivi devono approvare le scelte strategiche e assumere la responsabilità del governo del rischio cyber. Non sono però chiamati ad approvare ogni dettaglio tecnico o ogni aggiornamento operativo.

Per imprese e PA il chiarimento riduce il rischio di interpretazioni eccessivamente formalistiche, che avrebbero potuto trasformare l’adeguamento NIS 2 in un processo documentale troppo rigido.

Il messaggio operativo è netto: la cybersicurezza deve entrare nella governance, ma senza confondere il ruolo del vertice con quello delle funzioni tecniche. Gli organi amministrativi approvano indirizzo, pianificazione e responsabilità. Le strutture competenti attuano, aggiornano e gestiscono i presidi operativi.

Vai al sito di Cybersecurity Italia.

L'articolo NIS 2, ACN semplifica gli obblighi per organi di amministrazione e direttivi sembra essere il primo su CyberSecurity Italia.