Sicurezza delle risorse umane NIS2: come scrivere la procedura
La sicurezza delle risorse umane nella NIS2 si traduce in una procedura che governa il rapporto con le persone lungo tutto il loro percorso in azienda: selezione, nomina, formazione, cambio di mansione e uscita. L'obiettivo è che ogni persona abbia accessi e responsabilità adeguati al proprio ruolo, e li perda quando non servono più. In questa guida vediamo cosa chiede la normativa e come scrivere una procedura utilizzabile davvero.
Cosa prevede la NIS2 sulla sicurezza delle risorse umane
L'articolo 21 della direttiva (UE) 2022/2555 elenca le misure di gestione del rischio che i soggetti coinvolti devono adottare. Tra queste compare espressamente la sicurezza delle risorse umane, accanto alle strategie di controllo dell'accesso e alla gestione degli attivi. In Italia la direttiva è stata recepita dal Dlgs 138/2024, che affida all'Agenzia per la cybersicurezza nazionale (ACN) il compito di definire le misure di dettaglio.
La norma non fornisce un modello di procedura già pronto. Chiede misure proporzionate al rischio, alle dimensioni e alla criticità dell'organizzazione. Per questo la prima cosa da fare è consultare il testo aggiornato delle misure di base pubblicate dall'ACN e verificare quali requisiti riguardano il personale nel tuo caso.
Se non hai ancora chiarito se rientri nell'ambito di applicazione, ti conviene partire dalla panoramica su NIS 2: cos'è, a chi si applica e quali obblighi prevede.
Perché le persone sono un fattore di rischio e di difesa
Molti incidenti informatici partono da un comportamento umano: una credenziale condivisa, un allegato aperto, un account di ex collaboratore mai disattivato. Non si tratta quasi mai di cattiva fede, ma di processi poco chiari. Una buona procedura riduce questi rischi, perché rende espliciti compiti, limiti e controlli.
Allo stesso tempo il personale è la prima linea di rilevazione. Chi sa cosa segnalare, e a chi, permette di intercettare anomalie prima che diventino incidenti. La gestione del personale entra così a pieno titolo nel sistema di sicurezza, e non è solo una questione amministrativa.
Le fasi da coprire: dal primo colloquio all'uscita
Il modo più chiaro per strutturare la procedura è seguire il ciclo di vita del dipendente. Ogni fase ha rischi propri e richiede azioni precise.
Prima dell'assunzione
Qui si parla di affidabilità delle risorse umane: verifiche proporzionate al ruolo, definite in anticipo e coerenti con la legge. Chi gestirà sistemi critici o dati sensibili merita controlli più approfonditi di chi svolge mansioni senza accessi particolari. Le verifiche devono rispettare la normativa sul lavoro e sulla protezione dei dati personali, quindi vanno concordate con consulente del lavoro, legale e DPO.
All'ingresso
Nel momento dell'inserimento si formalizzano gli impegni. Di solito si prevedono:
- la lettura e l'accettazione delle politiche di sicurezza e dell'uso accettabile degli strumenti aziendali;
- gli obblighi di riservatezza, anche dopo la fine del rapporto;
- la nomina formale a incaricato del trattamento, quando pertinente;
- l'assegnazione di account e permessi minimi necessari, su richiesta del responsabile diretto;
- una formazione iniziale su sicurezza e segnalazione degli incidenti.
Durante il rapporto di lavoro
La sicurezza non si esaurisce con l'inserimento. Servono formazione periodica, revisione degli accessi e un percorso chiaro per le violazioni delle regole. Un piano formativo ben costruito è il tassello più visibile: ne parliamo in formazione cybersecurity dei dipendenti per la NIS2.
Anche il processo disciplinare va previsto, nel rispetto dei contratti collettivi e dello Statuto dei lavoratori. Deve essere noto a tutti e applicato in modo coerente, altrimenti perde credibilità.
Cambio di ruolo e cessazione
È la fase dove si accumulano più errori. Quando una persona cambia mansione, i vecchi permessi vanno rimossi, non sommati ai nuovi. Quando se ne va, occorre disattivare gli account, recuperare dispositivi, badge e chiavi, revocare accessi remoti e ricordarle gli obblighi di riservatezza. Il processo deve coinvolgere insieme HR, IT e responsabile di area.
Come scrivere la procedura passo per passo
Una procedura efficace è breve, chiara e collegata alle altre politiche. Un percorso di redazione possibile è questo:
- Definisci scopo e ambito: chi riguarda (dipendenti, collaboratori, stagisti, personale dei fornitori con accesso) e quali sistemi coinvolge.
- Assegna i ruoli: chi avvia i processi, chi approva gli accessi, chi esegue le disattivazioni.
- Descrivi ogni fase del ciclo di vita con azioni, responsabili e tempi, senza generalità.
- Collega i documenti correlati: controllo accessi, uso accettabile, gestione degli incidenti, formazione.
- Prevedi le evidenze: moduli firmati, ticket, registri di formazione, log di disattivazione.
- Stabilisci revisione e approvazione: versione, data, firma della direzione.
Per l'impostazione generale dei documenti puoi consultare come scrivere politiche e procedure di sicurezza per la NIS 2. Questa procedura andrebbe coerente con quelle sull'identità e sugli accessi, che ne sono il naturale completamento tecnico.
Ruoli e responsabilità: chi fa cosa
Una procedura senza responsabili resta sulla carta. Nella gestione del personale i soggetti coinvolti sono di solito quattro.
- Organi di amministrazione: approvano le misure, ne supervisionano l'attuazione e rispondono del rispetto degli obblighi, come previsto dalla NIS2. Devono anche ricevere una formazione adeguata.
- Risorse umane: gestiscono selezione, contratti, impegni di riservatezza e comunicazione degli ingressi, dei cambi di ruolo e delle uscite.
- IT e sicurezza: creano, modificano e revocano gli accessi, e conservano le tracce delle operazioni.
- Responsabili di area: richiedono i permessi necessari e confermano periodicamente che siano ancora appropriati.
Un punto frequente di confusione riguarda la «sicurezza sul lavoro». Quella disciplinata dal Dlgs 81/2008 tutela la salute fisica dei lavoratori, ed è un tema diverso, anche se si intreccia con gli accessi fisici e le emergenze. Conviene chiarirlo nel documento, per evitare sovrapposizioni di competenze.
Errori comuni da evitare
Dopo aver visto come si imposta il documento, vale la pena guardare dove le organizzazioni inciampano più spesso.
- Procedura generica: frasi come «il personale è formato» senza dire chi, quando e come.
- HR e IT separati: l'ufficio del personale non avvisa l'IT di un'uscita, e l'account resta attivo.
- Verifiche sproporzionate o illegittime: controlli sui candidati non previsti dalla legge o non motivati dal ruolo.
- Nessuna prova: la procedura esiste ma mancano registri, firme e ticket che dimostrino l'applicazione.
- Dimenticare i terzi: collaboratori esterni e personale dei fornitori con accessi privilegiati vanno trattati con regole equivalenti.
Come prepararsi a un controllo
In un audit o in una verifica l'organizzazione dovrà dimostrare che la procedura è applicata, non solo scritta. Una prova semplice è scegliere a campione alcuni ingressi e alcune uscite recenti e ricostruire l'intero percorso: richiesta, approvazione, formazione, attivazione e disattivazione degli account.
Se il percorso è ricostruibile in pochi minuti, il sistema funziona. Se servono ore, o mancano documenti, è il segnale che occorre migliorare i registri e la collaborazione tra reparti. Per i riferimenti normativi complessivi, utile anche la guida al Dlgs 138/2024 e alle politiche e procedure da redigere.
Conclusione
La sicurezza delle risorse umane non richiede documenti complessi, ma una procedura chiara, condivisa tra HR, IT e direzione, e provata da evidenze concrete. Partire dal ciclo di vita del dipendente permette di non dimenticare nessuna fase e di collegare il tema agli accessi, alla formazione e alla gestione degli incidenti.
Se vuoi un supporto per impostare l'intero sistema di politiche e procedure, scopri il percorso di adeguamento NIS 2 per la tua organizzazione e valuta insieme a un professionista quali misure siano più adatte al tuo contesto.
Domande frequenti
Chi deve aderire a NIS2?
La NIS2, recepita in Italia dal Dlgs 138/2024, riguarda soggetti essenziali e importanti che operano nei settori elencati negli allegati e rientrano, di norma, nelle soglie dimensionali previste. Per sapere se si è coinvolti bisogna verificare settore, dimensione e attività, ed eventualmente la registrazione sul portale dell'autorità competente.
Cosa fa un consulente sulla sicurezza sul lavoro?
Si occupa di salute e sicurezza fisica dei lavoratori, in base al Dlgs 81/2008: valutazione dei rischi, prevenzione, formazione. È una materia diversa dalla sicurezza informatica prevista dalla NIS2, anche se le due aree possono coordinarsi, ad esempio su accessi fisici e gestione delle emergenze.
Ogni quanto va aggiornata la procedura sulla sicurezza del personale?
Non esiste una cadenza valida per tutti. Conviene riesaminarla almeno una volta l'anno e ogni volta che cambiano organizzazione, sistemi, fornitori o normativa, oppure dopo un incidente che abbia coinvolto persone o accessi. Ogni revisione va approvata e tracciata con data e versione.
Si possono controllare i precedenti dei candidati per motivi di sicurezza?
Solo entro i limiti della normativa su lavoro e protezione dei dati. Le verifiche devono essere proporzionate al ruolo, previste dalla legge e documentate nell'informativa. Prima di introdurle conviene confrontarsi con un consulente del lavoro, un legale e il DPO.