Home › Blog › Ruoli e responsabilità NIS2: chi fa cosa in azienda

Ruoli e responsabilità NIS2: chi fa cosa in azienda

In sintesi, i ruoli e responsabilità NIS2 si dividono su due livelli. Gli organi di amministrazione approvano le misure di gestione del rischio cyber, ne controllano l'attuazione e si formano sul tema. Le figure operative, dal referente per la cybersicurezza ai responsabili IT, HR e acquisti, applicano le misure ogni giorno. La chiave è mettere tutto per iscritto, con nomi, deleghe e confini chiari.

Perché assegnare le responsabilità è il primo passo

Molte organizzazioni partono dalla tecnologia: firewall, backup, strumenti di monitoraggio. La NIS2 chiede però di partire dalla governance. Senza un responsabile per ogni area, le politiche restano documenti senza proprietario e nessuno si accorge quando non vengono applicate.

Prima di assegnare i ruoli bisogna sapere se la direttiva vi riguarda. Se non l'avete ancora verificato, la guida su cos'è la NIS 2, a chi si applica e quali obblighi prevede aiuta a capire se rientrate tra i soggetti essenziali o importanti. In Italia il recepimento è avvenuto con il D.lgs. 138/2024, e le indicazioni operative arrivano dall'Agenzia per la cybersicurezza nazionale (ACN).

Una buona ripartizione evita due problemi opposti. Il primo è il vuoto: nessuno decide, ad esempio, quando un fornitore va escluso. Il secondo è la sovrapposizione: due reparti gestiscono lo stesso incidente in modo diverso.

Le responsabilità degli organi di amministrazione

È il punto più delicato della direttiva. La NIS2 attribuisce al vertice, cioè consiglio di amministrazione, amministratore unico o equivalente, un ruolo diretto sulla sicurezza informatica. La cybersicurezza smette di essere una questione tecnica da delegare interamente all'IT.

Che cosa devono fare

Secondo l'impianto della direttiva, gli organi di amministrazione e direttivi hanno almeno questi compiti:

• approvare le misure di gestione del rischio di cybersicurezza adottate dall'organizzazione;
• sovrintendere alla loro attuazione, chiedendo evidenze e aggiornamenti periodici;
• seguire una formazione specifica per comprendere rischi e impatti;
• rispondere delle violazioni, nei limiti e con le modalità stabiliti dalla normativa nazionale.

Per il testo esatto e per le conseguenze sanzionatorie conviene consultare direttamente il decreto di recepimento e farlo leggere a un professionista legale. Un riepilogo generale delle politiche da produrre è nell'articolo sul D.lgs. 138/2024 e le politiche e procedure da redigere.

Come dimostrare l'approvazione

Approvare non significa firmare senza leggere. Il verbale dell'organo di amministrazione dovrebbe citare le politiche approvate, la data e le eventuali osservazioni. Utile anche una relazione periodica del referente cyber al vertice, con rischi aperti, incidenti e stato delle azioni correttive.

Le figure operative: chi fa cosa

Sotto il vertice servono ruoli concreti. I titoli variano molto in base alla dimensione dell'organizzazione e in una PMI più ruoli possono coincidere nella stessa persona. Conta che le funzioni siano coperte e che si evitino conflitti di interesse evidenti, per esempio chi controlla non dovrebbe essere lo stesso che opera.

• Referente per la cybersicurezza (o CISO): coordina il programma di sicurezza, riferisce al vertice, mantiene il quadro dei rischi e il rapporto con le autorità.
• Responsabile IT e sistemisti: applicano le misure tecniche su reti, sistemi, patch, accessi e backup.
• Responsabile delle risorse umane: cura verifiche sul personale, ingresso, cambio mansione e uscita, e collabora ai piani di formazione.
• Responsabile acquisti o gestione fornitori: inserisce requisiti di sicurezza nei contratti e coordina le valutazioni dei fornitori ICT.
• Proprietari degli asset e dei processi: responsabili di business che conoscono il valore di un'applicazione o di un dato e ne approvano gli accessi.
• Team di risposta agli incidenti: persone con compiti definiti per rilevare, classificare, contenere e ripristinare.
• DPO, se nominato: resta una figura distinta, con ambito privacy, ma va coinvolto quando un incidente tocca dati personali.

Un punto pratico: la registrazione sulla piattaforma dell'ACN prevede l'indicazione di referenti dell'organizzazione. Verificate sul portale dell'Agenzia chi vi viene richiesto e con quali compiti, così da allineare i nominativi ufficiali con l'organigramma interno.

Come documentare ruoli e responsabilità NIS2

Una volta individuate le persone, occorre formalizzare. Il documento centrale è di solito una politica di governance della sicurezza, accompagnata da una matrice delle responsabilità. Se state impostando l'intero impianto, la guida su come scrivere politiche e procedure di sicurezza offre una struttura di base.

Un metodo in cinque passaggi

1. Elencate i domini di sicurezza: rischio, asset, accessi, vulnerabilità, continuità, fornitori, formazione, monitoraggio, incidenti, sicurezza fisica e dei dati.
2. Individuate un responsabile per ciascun dominio, con un sostituto per assenze e ferie.
3. Costruite una matrice RACI: per ogni attività indicate chi è responsabile dell'esecuzione, chi ne risponde, chi va consultato e chi informato.
4. Formalizzate con lettere di incarico o deleghe, definendo poteri di spesa e di decisione.
5. Riesaminate almeno una volta l'anno, e a ogni cambio organizzativo rilevante.

L'errore più comune è scrivere ruoli astratti, come «l'IT», invece di nominare funzioni e persone. In caso di verifica, un nome e una data valgono più di una formula generica.

Una mappa pratica: area, responsabile, documento

La tabella seguente è un esempio orientativo da adattare alla vostra realtà. Non è un modello obbligatorio, ma mostra come collegare ogni area a un titolare e a un documento.

Per le aree più operative esistono approfondimenti dedicati. Sul coordinamento nei momenti critici, per esempio, trovate la guida alla gestione della crisi cyber, dove la catena decisionale è decisiva.

Errori frequenti nell'assegnazione delle responsabilità

Alcuni difetti ricorrono spesso quando si impostano i ruoli e le responsabilità nella sicurezza informatica:

• Delegare tutto all'IT, lasciando il vertice fuori dalle decisioni e dalla formazione.
• Nominare un referente senza poteri né budget, che di fatto non può far applicare nulla.
• Dimenticare i sostituti, con il risultato che un'assenza blocca la gestione di un incidente.
• Non aggiornare il documento dopo riorganizzazioni, cessazioni o cambi di fornitore.
• Trascurare i fornitori esterni: se un servizio di sicurezza è in outsourcing, la responsabilità finale resta comunque in capo all'organizzazione.

Un test semplice: chiedete a tre persone diverse chi decide se spegnere un sistema durante un attacco. Se le risposte non coincidono, la ripartizione va rivista.

Conclusione

Definire con chiarezza i ruoli e le responsabilità NIS2 è la base su cui poggiano tutte le altre misure: senza titolari, le politiche non vengono applicate e i controlli non producono evidenze. Partite dal vertice, nominate i referenti operativi, formalizzate la matrice e riesaminatela con regolarità. Se volete un supporto per integrare questo lavoro in un percorso completo di conformità, trovate il quadro dei servizi nella pagina Adeguamento NIS 2 per la tua organizzazione.

Domande frequenti