la lista di domande chiede se il management è coinvolto nella sicurezza informatica

La responsabilità della direzione è un obbligo NIS2 separato, distinto dalle dieci misure

Questa domanda non riguarda la tecnica ma la governance: la direzione stessa è coinvolta nella cybersecurity, oppure è completamente delegata all'IT. Secondo l'articolo 21, paragrafo 2 della NIS2, le dieci misure sono specificate, ma l'articolo 20 della direttiva obbliga inoltre gli organi di governo a approvare le misure di gestione dei rischi e a vigilare sulla loro attuazione, e impone ai membri dell'organo di governo di seguire una formazione per valutare i rischi informatici. Si tratta quindi di un punto separato del questionario: non "quali misure avete", ma "la dirigenza ne è consapevole e lo approva".

Come prova di solito vale un estratto del verbale in cui la direzione ha fissato o valutato la politica di sicurezza, un organigramma dal quale emergono le linee di reporting verso la direzione, o un punto all'ordine del giorno di una riunione periodica della direzione sui rischi informatici. Se questo manca, allora "no" è la risposta onesta qui — un fornitore che compila questo senza documentazione corre il rischio che il cliente vi torni sopra in seguito. Questa domanda è spesso collegata alla domanda l'efficacia delle misure di sicurezza è sottoposta a verifica periodica, poiché una verifica senza follow-up gestionale è per un cliente una risposta parziale. È inoltre rilevante se la vostra azienda stessa rientra nel campo di applicazione della direttiva NIS2, perché allora questo non è solo una domanda del vostro cliente ma un obbligo legale proprio a partire dal 15 agosto 2026, quando la Legge sulla cybersicurezza entra in vigore.

Provenienza: articolo 20 accanto all'articolo 21 NIS2

L'articolo 20 della Direttiva (UE) 2022/2555 disciplina la responsabilità e il coinvolgimento degli organi di governo, separatamente dalle dieci misure sostanziali dell'articolo 21, paragrafo 2; ISO/IEC 27001 non ha un equivalente letterale nell'Allegato A ma richiede attraverso i requisiti fondamentali della norma (clausola 5, leadership) un coinvolgimento dimostrabile della dirigenza, che spesso viene presentato come documento separato accanto alle misure dell'Allegato A.