non abbiamo un reparto IT, chi deve compilare questo questionario sulla sicurezza

Nessun reparto ICT non è un'esenzione

L'elenco delle domande non riguarda chi è in busta paga, ma se le dieci misure dell'articolo 21 paragrafo 2 NIS2 sono presenti — anche con cinque dipendenti. Un cliente che invia questo elenco vuole sapere se l'analisi dei rischi, la gestione degli incidenti, la continuità e il controllo degli accessi sono organizzati, non se esiste un reparto con quel nome. In una piccola azienda la risposta spesso dipende dal proprietario o da un fornitore IT esterno, ed è una risposta valida: chi lo fa non è indicato nell'elenco delle domande, solo se viene fatto.

In pratica, questo significa che chi gestisce l'hosting, i laptop o il software contabile — spesso una ditta esterna — ha le risposte concrete alle domande su backup e misure di emergenza e su autenticazione multifattore. Questo fornitore non deve compilare l'elenco delle domande, ma fornisce il documento di prova o la conferma con cui l'imprenditore stesso risponde. Per le domande che non riguardano la tecnica ma la politica — chi può accedere dove, cosa succede in caso di incidente — la conoscenza di solito risiede nel proprietario stesso, anche senza esperienza ICT.

L'articolo 21 paragrafo 2 richiede misure, non un titolo di funzione

L'articolo 21 paragrafo 2 della direttiva NIS2 menziona le dieci misure come un obbligo di risultato per l'entità, senza imporre requisiti sulla struttura organizzativa con cui tale risultato viene raggiunto. L'Allegato A della ISO/IEC 27001 sviluppa le stesse misure in controlli che possono essere implementati tanto da una parte esterna quanto da personale interno. Se l'impresa stessa rientra nella direttiva è invece una questione separata, indipendente da chi compila l'elenco delle domande — questo è riconducibile allo status NIS2 proprio dell'impresa.