il questionario chiede chi è responsabile della cybersecurity all'interno del nostro organo di amministrazione

La direzione si assume la responsabilità, non il dipartimento IT

In questa domanda il cliente vuole sapere se la direzione stessa si assume la responsabilità finale per la cybersecurity, oppure se questa è stata delegata a un IT manager o CISO senza coinvolgimento della direzione. La risposta che la maggior parte delle aziende fornisce: un dirigente è designato come responsabile finale, e l'esecuzione è affidata a un funzionario o a un dipartimento sottostante. Queste due cose non sono la stessa cosa e la lista di controllo spesso vuole vedere entrambi: chi è responsabile (livello direttivo) e chi esegue (livello operativo).

La prova concreta di ciò è solitamente una delibera della direzione, una descrizione delle funzioni del CISO o del responsabile della sicurezza, oppure un passaggio nella politica di sicurezza delle informazioni che specifica la divisione dei ruoli. Se manca quel documento, allora "no" o "ancora da determinare" è la risposta onesta — non perché nessuno sia responsabile, ma perché l'assegnazione non è stata formalizzata. Questa domanda è spesso collegata alla domanda se esiste una politica per l'analisi dei rischi e la protezione dei sistemi informativi, poiché tale politica di solito specifica anche chi l'ha approvata e chi la mantiene.

Dove si trova nella direttiva: articolo 21 paragrafo 2

L'obbligo deriva dall'articolo 21, paragrafo 2 della direttiva NIS2 (Direttiva (UE) 2022/2555), che elenca dieci misure che rientrano sotto la responsabilità della direzione, tra cui la governance e la gestione dei rischi. La direttiva stessa disciplina la responsabilità della direzione separatamente: la direzione deve supervisionare l'esecuzione e può esserne chiamata a rispondere, anche se l'esecuzione quotidiana è affidata a un CISO. Nei Paesi Bassi, questo obbligo si ritrova nella Legge sulla cybersicurezza, che entrerà in vigore il 15 agosto 2026. ISO/IEC 27001 Annex A richiede inoltre nelle misure di controllo relative alla struttura organizzativa una divisione dei ruoli formalizzata — chi ha già quel certificato può di solito riutilizzare direttamente quella documentazione per questa domanda. Se l'azienda è certificata ISO 27001allora la responsabilità della direzione è solitamente già menzionata nell'ambito di applicazione o nel documento politico.