In sintesi

Con la NIS2, la sicurezza informatica non è più soltanto una questione tecnica da affidare all’IT. È un tema di governo dell’impresa. Il Consiglio di amministrazione può affidare a CISO, responsabili IT, comitati interni o consulenti la preparazione e l’attuazione delle misure di sicurezza. Non può, invece, trasferire gli obblighi di indirizzo, approvazione e supervisione che la legge attribuisce direttamente agli organi di amministrazione e direttivi. La delega organizza il lavoro, ma non sostituisce il governo del rischio cyber.

Il punto da chiarire: che cosa significa “responsabilità del CdA”?

L’articolo 23 del decreto legislativo 4 settembre 2024, n. 138, che attua la direttiva NIS2 in Italia, attribuisce agli organi di amministrazione e direttivi tre compiti essenziali:

1. approvare le modalità di implementazione delle misure di gestione dei rischi per la sicurezza informatica;
2. sovrintendere all’attuazione di tali misure;
3. rispondere delle violazioni degli obblighi previsti dal decreto, secondo le condizioni stabilite dalla normativa applicabile.

Agli stessi organi è inoltre richiesta una formazione adeguata in materia di sicurezza informatica, insieme alla promozione di una formazione coerente per il personale. Questo non significa che gli amministratori debbano conoscere le configurazioni dei firewall, esaminare ogni vulnerabilità o scrivere le procedure di risposta agli incidenti. Significa, invece, che devono essere messi nelle condizioni di:

• comprendere i principali rischi cyber per l’organizzazione;
• definire gli indirizzi e le priorità;
• approvare il modello di gestione adottato;
• assegnare poteri e risorse adeguati;
• verificare periodicamente lo stato di attuazione;
• intervenire quando emergono ritardi, carenze o rischi non adeguatamente gestiti. .

Che cosa non può essere delegato

Gli obblighi attribuiti direttamente dalla normativa agli organi di amministrazione e direttivi devono rimanere nella loro sfera decisionale.

1. L’indirizzo strategico

Il CdA deve stabilire il livello di attenzione e le priorità dell’organizzazione in materia di sicurezza informatica. Deve inoltre valutare il rapporto tra rischi, continuità dei servizi, investimenti necessari e impatti sul business. Queste decisioni non possono essere integralmente trasferite al CISO o alla funzione IT.

2. L’approvazione delle modalità di implementazione

Il CdA deve approvare i documenti attraverso i quali l’organizzazione definisce come intende governare i rischi cyber. Secondo i chiarimenti richiamati nel documento di partenza, questa approvazione non può essere trasferita a un singolo amministratore, a una funzione aziendale o a un diverso comitato, salvo il caso in cui il modello societario attribuisca la competenza a un organo monocratico.

3. La sovrintendenza

L’approvazione iniziale non è sufficiente. Il CdA deve ricevere informazioni periodiche, comprensibili e utili alle decisioni, verificando che le misure approvate siano effettivamente attuate.Il reporting dovrebbe consentire di conoscere almeno:

• l’evoluzione del profilo di rischio;
• lo stato dei piani di adeguamento;
• gli incidenti significativi;
• le vulnerabilità e le criticità non risolte;
• le dipendenze critiche dai fornitori;
• l’esposizione dei servizi essenziali o importanti;
• gli investimenti necessari;
• i rischi residui che richiedono una decisione del vertice.

4. Le decisioni sui rischi rilevanti

Il CISO può individuare e rappresentare un rischio, ma le decisioni strategiche sulla sua gestione, soprattutto quando comportano investimenti significativi, modifiche organizzative o accettazione consapevole di un rischio residuo rilevante, devono essere assunte al livello aziendale competente.

Quali attività possono essere delegate

Possono essere delegate le attività istruttorie, tecniche, organizzative ed esecutive necessarie per attuare le decisioni del CdA.Tra queste rientrano:

• analisi e valutazione dei rischi;
• predisposizione dei documenti da sottoporre al CdA;
• elaborazione dei piani di trattamento;
• definizione e coordinamento del programma di adeguamento;
• implementazione delle misure tecniche e organizzative;
• monitoraggio operativo;
• raccolta delle evidenze e degli indicatori;
• gestione tecnica delle vulnerabilità;
• predisposizione dei piani di continuità e ripristino;
• preparazione operativa alla gestione degli incidenti;
• aggiornamento di procedure, istruzioni e manuali tecnici;
• preparazione del reporting per il vertice.

Queste attività possono essere affidate al CISO, al CTO, alla funzione IT, a un comitato interno o a consulenti esterni. La delega, tuttavia, deve essere effettiva e coerente con il compito attribuito. Deve quindi indicare chiaramente:

• perimetro dell’incarico;
• poteri decisionali e operativi;
• competenze richieste;
• risorse economiche e organizzative;
• accesso alle informazioni;
• obblighi di segnalazione;
• periodicità dei flussi verso il CdA;
• modalità di escalation delle criticità.

Il soggetto delegato può rispondere delle proprie condotte o omissioni rispetto ai compiti ricevuti. Questo, però, non elimina automaticamente gli obblighi degli organi apicali, soprattutto quando il vertice non abbia definito indirizzi adeguati, non abbia controllato l’attuazione o non sia intervenuto dopo la segnalazione di criticità rilevanti. 

Quali documenti deve approvare il CdA?

Il CdA non deve approvare ogni manuale tecnico o istruzione di lavoro. Deve concentrarsi sui documenti di governo e pianificazione strategica, con un livello di dettaglio sufficiente per assumere decisioni consapevoli.Nel documento di partenza sono indicati, tra gli altri:

• organizzazione e responsabilità per la sicurezza informatica;
• politiche di sicurezza;
• valutazione e trattamento del rischio;
• piano di gestione delle vulnerabilità;
• piano di adeguamento;
• piani di continuità operativa e ripristino;
• piano di gestione delle crisi;
• piano di formazione;
• piano di gestione degli incidenti.

Questi documenti dovrebbero evidenziare almeno il contesto, i ruoli, i criteri adottati, le priorità, le decisioni richieste, le risorse necessarie e il livello di rischio residuo.Procedure tecniche, configurazioni, istruzioni operative, schemi e manuali possono essere approvati e aggiornati dalle funzioni competenti, purché siano coerenti con il quadro strategico approvato dal CdA. Il loro aggiornamento non richiede necessariamente una nuova delibera del CdA, a condizione che non modifichi gli elementi essenziali di indirizzo e governo. 

La nomina del CISO: necessaria, ma non liberatoria

Il CISO svolge un ruolo fondamentale: analizza i rischi, propone priorità, coordina le misure, controlla lo stato di attuazione e segnala al vertice carenze, ritardi e rischi residui.La sua funzione non è sostituire il CdA, ma permettere al CdA di prendere decisioni informate. La semplice nomina di un “responsabile della cybersecurity”, quindi, non trasferisce automaticamente gli obblighi NIS2 attribuiti agli organi di amministrazione e direttivi.

Una checklist pratica per il prossimo CdA

Per rendere concreto il governo della NIS2, il Consiglio dovrebbe verificare che:

• il perimetro NIS2 dell’organizzazione sia stato formalmente valutato;
• ruoli, responsabilità e deleghe siano documentati;
• le deleghe operative prevedano poteri e risorse adeguati;
• i documenti strategici siano stati approvati dall’organo competente;
• esista un piano di adeguamento con priorità, responsabili e scadenze;
• siano definiti indicatori comprensibili per il CdA;
• il reporting sia periodico e non limitato agli incidenti;
• le criticità rilevanti prevedano un processo di escalation;
• le decisioni di accettazione del rischio siano motivate e verbalizzate;
• gli amministratori abbiano ricevuto una formazione adeguata;
• siano monitorati fornitori e dipendenze critiche;
• verbali e delibere documentino valutazioni e decisioni assunte.

Il messaggio finale

Il CdA non deve gestire operativamente la cybersecurity, ma deve governarla. Può delegare analisi, predisposizione dei documenti, implementazione, controlli tecnici e monitoraggio operativo. Non può invece considerarsi esonerato dagli obblighi di indirizzo, approvazione e sovrintendenza previsti dall’articolo 23 del decreto legislativo n. 138/2024.In altre parole, si può delegare l’esecuzione, non la responsabilità di assicurare che il rischio cyber sia governato in modo consapevole e continuativo