il cliente vuole sapere chi è responsabile della sicurezza informatica presso di noi

Governance, non un nome

La domanda "chi è responsabile della sicurezza delle informazioni" nella pratica non chiede un nome o una qualifica professionale, ma una prova di governance: c'è una responsabilità designata e è garantita a livello dirigenziale? L'articolo 21 comma 2 di NIS2 non la menziona da sola, ma come parte della politica per l'analisi dei rischi e la protezione dei sistemi informativi — la prima delle dieci misure. Chi riceve questa domanda di solito può fare meglio riferimento allo stesso documento di politica in cui è indicato se l'organizzazione ha una politica per l'analisi dei rischi e la protezione dei sistemi informativi: il responsabile della politica vi è di solito menzionato, insieme all'ambito di applicazione e alla data dell'ultimo aggiornamento.

Se l'organizzazione non ha un responsabile formalmente designato, "la direzione" o "il proprietario" come risposta è spesso sufficiente per le piccole imprese — ma è una constatazione di fatto, non qualcosa che questa piattaforma suggerisce. Ciò che il sistema può fare: estrarre la risposta dal fascicolo della catena se è già lì, con la fonte, così che il cliente la confermi con sì o no. Se questa registrazione manca, la risposta più onesta è che non c'è ancora un responsabile formalmente designato, anziché inventare un nome che non compare nel fascicolo. Questa domanda è spesso collegata ad altre: chi segnala un incidente, ad esempio, è indicato in la procedura per la gestione degli incidenti di sicurezza, e potrebbe essere la stessa persona o qualcuno di diverso.

Dove questo deriva dall'articolo 21 comma 2

L'articolo 21 comma 2 della Direttiva (UE) 2022/2555 obbliga le entità a un approccio basato sui rischi con dieci misure concrete, di cui una politica relativa all'analisi dei rischi e alla protezione dei sistemi informativi è la prima; chi ne è responsabile fa parte di quella politica, non un dato separato. Nella ISO/IEC 27001 questo si ritrova nell'Allegato A, fra le misure di controllo per l'organizzazione della sicurezza delle informazioni. Il Cybersecurity Act recepisce questo obbligo nel diritto olandese e dovrebbe entrare in vigore il 15 agosto 2026; fino a quella data NIS2 stesso è il testo a cui fare riferimento.