non abbiamo un CISO, chi compilo come responsabile della sicurezza

Nessun titolo di funzione necessario, bensì un ruolo identificabile

L'articolo 21 comma 2 della Direttiva NIS2 non richiede un CISO. Non c'è scritto da nessuna parte che un titolo di funzione è obbligatorio — la direttiva chiede "misure tecniche, operative e organizzative appropriate e proporzionate", e governance al di sopra. Ciò che devi poter indicare è chi decide internamente sulla sicurezza dell'informazione e chi si rivolge alla direzione al riguardo. In un'azienda più piccola spesso è lo stesso amministratore, un responsabile IT con la sicurezza come compito parziale, o un soggetto esterno strutturalmente incaricato. Indica questo ruolo con nome o funzione, non con "nessuno" e non con un titolo che non esiste.

Cosa devi tenere a mente: il cliente non si interessa del titolo, ma della dimostrabilità. Puoi provare che c'è qualcuno responsabile per politica per l'analisi dei rischi e la sicurezza dei sistemi informativi, e che quella stessa persona o un'altra designata è anche il punto di contatto presso incidenti di sicurezza? Questo è il documento di prova che di solito viene richiesto: un organigramma, una matrice RACI, o semplicemente un paragrafo nel documento politico che nomina il ruolo e le competenze. Se non l'hai documentato, allora "no" con una spiegazione che la direzione detiene questa responsabilità è una risposta più onesta rispetto a una funzione inventata.

Da cui deriva: articolo 21 comma 2 lettera a della Direttiva NIS2 e Annex A 5.2 della norma ISO 27001

L'articolo 21 comma 2 lettera a della Direttiva NIS2 cita "politica di analisi dei rischi e sicurezza dei sistemi informativi" come primo delle dieci misure, e la governance è una parte implicita: senza un responsabile designato la politica non è eseguibile e non è controllabile. ISO/IEC 27001 lo esplicita in Annex A 5.2, "information security roles and responsibilities", dove viene richiesto un ruolo ma non un titolo specifico. Se compili questo modulo senza certificazione ISO, è ancora più importante che l'allocazione dei ruoli sia documentata da qualche parte — questo aiuta quando si chiede se l'azienda è certificata ISO 27001, dove altrimenti rimani a mani vuote.