il questionario chiede chi nel nostro reparto è responsabile della sicurezza informatica

Governance e responsabilità, non solo un nome

La domanda va oltre il semplice inserimento di un contatto. L'articolo 21 paragrafo 2 della direttiva NIS2 cita "politiche relative all'analisi dei rischi e alla sicurezza dei sistemi informativi" come una delle dieci misure obbligatorie, e la governance — chi decide, chi approva, chi è responsabile — ne è parte. In ISO/IEC 27001 questo si ritrova nell'Allegato A, tra le misure di controllo relative all'organizzazione della sicurezza delle informazioni: ci si aspetta che i ruoli e le responsabilità siano assegnati e documentati, non solo concordati verbalmente. Citare un nome senza un ruolo documentato è quindi di solito una compilazione incompleta.

Ciò che il cliente vuole vedere esattamente varia a seconda del formato: a volte è un titolo di posizione (CISO, IT manager, direttore), a volte una tabella simile a RACI, a volte solo la domanda se esiste AFFATTO una persona designata. Se l'azienda non ha un responsabile formalmente designato ma il compito ricade di fatto su qualcuno, spesso è sufficiente per un "sì" — purché sia documentato da qualche parte, ad esempio in una descrizione della mansione o nei verbali. Senza alcuna documentazione, "no" è la risposta onesta; il fascicolo della catena non può risolvere questo inventando un'affermazione. Questa domanda è spesso collegata a politica di analisi dei rischi e di cybersicurezza dei sistemi informativipoiché un cliente che chiede informazioni sulla governance di solito vuole sapere anche chi ha fissato quella politica.

Dove questo si trova nella direttiva e nella norma

Il riferimento a governance e responsabilità si trova nell'articolo 21 paragrafo 2 lettera a della direttiva NIS2 (politiche relative all'analisi dei rischi e alla sicurezza delle informazioni) e nell'Allegato A di ISO/IEC 27001, tra le misure di controllo organizzative. Nei Paesi Bassi lo stesso obbligo si ritrova tramite la Cyberbeveiligingswet, che entrerà in vigore il 15 agosto 2026 come trasposizione della NIS2. Le autorità di vigilanza e i clienti che pongono questa domanda verificano implicitamente anche se c'è un processo dietro — per questo motivo nella pratica questa domanda spesso coincide con la domanda se l'efficacia delle misure è verificata periodicamentepoiché un responsabile senza un momento di verifica ha poco valore sulla carta.