NIS2 e responsabilità degli organi di gestione: cosa cambia nella pratica

L'approvazione degli organi di gestione implica una supervisione continua

L'articolo 20 della direttiva NIS2 impone agli Stati membri di provvedere affinché gli organi di gestione dei soggetti essenziali e importanti approvino le misure di gestione dei rischi di cibersicurezza adottate per conformarsi all'articolo 21 e ne sovrintendano all'attuazione. I membri degli organi di gestione devono inoltre seguire una formazione che consenta loro di acquisire conoscenze e competenze sufficienti per individuare i rischi e valutare le pratiche di gestione dei rischi di cibersicurezza e il loro impatto sui servizi offerti dal soggetto.

In Italia, l'articolo 23 del decreto legislativo n. 138/2024 dà attuazione a tali obblighi a livello nazionale. Gli organi di amministrazione e gli organi direttivi dei soggetti essenziali e importanti approvano le modalità di implementazione delle misure di gestione dei rischi per la sicurezza informatica adottate ai sensi dell'articolo 24 e sovrintendono all'implementazione dei relativi obblighi.

Gli specialisti tecnici continuano a occuparsi dell'individuazione delle vulnerabilità, della proposta delle misure più appropriate e delle attività tecniche necessarie. Il management, tuttavia, deve comprendere i rischi significativi alla base di tali attività e l'approccio scelto per affrontarli.

Si consideri, ad esempio, un'organizzazione che utilizza un sistema importante per l'attività aziendale nel quale gli accessi amministrativi privilegiati sono ancora protetti esclusivamente da password. Il team di sicurezza raccomanda di introdurre l'autenticazione a più fattori, ma l'intervento non può essere completato immediatamente perché richiede modifiche tecniche al sistema. L'organizzazione introduce quindi restrizioni temporanee, prevedendo di attuare la soluzione definitiva nell'arco di sei mesi.

Il management non deve stabilire come configurare tecnicamente il sistema. Deve però comprendere il rischio, le misure temporanee su cui l'organizzazione fa affidamento e valutare se i tempi previsti per l'intervento correttivo siano ragionevoli.

Dal punto di vista della governance, l'organizzazione dovrebbe inoltre essere in grado di dimostrare chi è responsabile dell'intervento, quali misure temporanee sono state concordate, entro quando deve essere attuata la soluzione definitiva e in quali casi un ritardo o una variazione del rischio debbano essere portati all'attenzione del livello di gestione appropriato. In questo modo si crea un collegamento chiaro tra il rischio individuato, la decisione assunta e la sua attuazione.

La NIS2 richiede più di una policy formalmente adottata

L'articolo 21 della NIS2 impone ai soggetti essenziali e importanti di adottare misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi di cibersicurezza. In Italia, questi obblighi sono attuati attraverso l'articolo 24 del decreto legislativo n. 138/2024.

In concreto, l'individuazione dei rischi e l'adozione di policy non sono sufficienti. Una policy può dimostrare che l'organizzazione ha definito un controllo, ma non necessariamente che quel controllo sia stato effettivamente attuato, monitorato o continui a essere efficace.

Questa distinzione emerge direttamente dalla normativa. L'articolo 21 della NIS2 include strategie e procedure per valutare l'efficacia delle misure di gestione dei rischi di cibersicurezza. La corrispondente disposizione italiana, contenuta nell'articolo 24, prevede lo stesso requisito.

Per il management, ciò dà un significato concreto al ruolo di supervisione previsto dall'articolo 20 e, in Italia, dall'articolo 23 del decreto. L'approvazione è solo il punto di partenza. Il management deve disporre di informazioni sufficienti per comprendere se le misure più rilevanti siano state effettivamente attuate e se gli interventi correttivi importanti stiano procedendo come previsto.

Quando un'organizzazione rileva di non essere conforme alle misure richieste, deve inoltre intervenire per porvi rimedio. L'articolo 24, comma 4, del decreto italiano impone al soggetto di adottare, senza indebito ritardo, tutte le misure correttive necessarie, appropriate e proporzionate.

Riprendendo l'esempio precedente, il management non avrebbe bisogno di esaminare la configurazione tecnica delle restrizioni temporanee agli accessi. Dovrebbe però essere in grado di sapere se tali restrizioni siano state effettivamente introdotte e se l'attuazione del piano di intervento previsto nell'arco di sei mesi stia procedendo secondo i tempi stabiliti.

Quando l'evoluzione del rischio richiede una nuova decisione

Una supervisione efficace richiede anche di riconoscere quando nuove informazioni modificano i presupposti alla base di una decisione precedente.

Un'organizzazione, ad esempio, può fare affidamento sulle proprie procedure di backup e ripristino partendo dal presupposto che, in caso di incidente, un sistema critico possa essere ripristinato entro un intervallo di tempo ritenuto accettabile. Se un successivo test di ripristino mostra che i tempi sarebbero significativamente più lunghi del previsto, la misura esiste ed è stata testata, ma l'esito modifica la valutazione dell'esposizione al rischio dell'organizzazione.

Il management potrebbe quindi dover valutare se le misure esistenti siano ancora adeguate e se siano necessari ulteriori interventi. L'organizzazione potrebbe, ad esempio, rafforzare le proprie capacità di ripristino o anticipare miglioramenti inizialmente previsti per una fase successiva.

Non è necessario che ogni risultato di un test venga sottoposto agli organi di gestione. Occorre piuttosto valutare se le nuove informazioni modifichino in modo sostanziale un rischio di cibersicurezza significativo o mettano in discussione i presupposti su cui si basava una decisione precedente.

È questo un aspetto essenziale della supervisione continua: una misura che risultava ragionevole al momento dell'approvazione può non essere più sufficiente se il rischio sottostante cambia.

I ritardi significativi possono richiedere il coinvolgimento del management

Gli interventi correttivi in materia di cibersicurezza possono anche entrare in conflitto con le priorità operative. Una vulnerabilità può essere nota, ma correggerla immediatamente potrebbe comportare l'interruzione di un servizio o di un processo aziendale importante.

Ad esempio, il team di sicurezza può individuare una vulnerabilità grave in un sistema che supporta un processo produttivo critico. L'intervento richiede di mettere il sistema fuori servizio per diverse ore, mentre il team operativo preferirebbe rinviarlo perché l'organizzazione si trova in una fase produttiva particolarmente importante.

A quel punto, la questione può richiedere un coinvolgimento che vada oltre i team tecnici. Il management potrebbe dover valutare se le misure temporanee proposte siano sufficienti, se il rischio residuo sia accettabile per il periodo previsto e se il rinvio dell'intervento sia compatibile con gli obblighi dell'organizzazione e con il suo livello di tolleranza al rischio.

Lo scopo dell'escalation non è quindi trasferire al consiglio di amministrazione le decisioni operative in materia di sicurezza. È assicurare che un rischio di cibersicurezza significativo venga valutato al livello appropriato, tenendo conto delle rilevanti conseguenze per l'attività aziendale.

Delega, informazione e formazione sostengono una supervisione efficace

La cibersicurezza richiede necessariamente competenze specialistiche e gli organi di gestione continueranno ad affidarsi a professionisti della sicurezza, team IT e altre funzioni competenti. La delega, tuttavia, non elimina le responsabilità di supervisione previste dalla NIS2.

Quando è stata approvata una misura importante di cibersicurezza, l'organizzazione dovrebbe sapere chi è responsabile della sua attuazione e come eventuali problemi significativi debbano essere portati all'attenzione del livello di gestione appropriato. Una supervisione efficace richiede che il management riceva le informazioni realmente rilevanti, non che venga coinvolto in ogni questione operativa.

Per le organizzazioni italiane, l'articolo 23 rende questo flusso informativo particolarmente esplicito. Gli organi di amministrazione e gli organi direttivi dei soggetti essenziali e importanti devono essere informati su base periodica o, se opportuno, tempestivamente degli incidenti e delle notifiche di cui agli articoli 25 e 26 del decreto.

A questo si aggiunge l'obbligo di formazione. L'articolo 20 della NIS2 richiede ai membri degli organi di gestione di seguire una formazione, mentre l'articolo 23 del decreto italiano impone agli organi di amministrazione e agli organi direttivi di seguire una formazione in materia di sicurezza informatica e di promuovere periodicamente una formazione coerente per i dipendenti.

L'obiettivo concreto va oltre la semplice sensibilizzazione. Il management dovrebbe essere in grado di comprendere perché un determinato rischio sia significativo, valutare criticamente se la risposta proposta sia proporzionata e riconoscere quando nuove informazioni rendano necessario riesaminare una decisione precedente.

Cosa significa davvero la responsabilità degli organi di gestione ai sensi della NIS2

L'articolo 20 della NIS2 impone agli Stati membri di provvedere affinché gli organi di gestione possano essere ritenuti responsabili delle violazioni, da parte del soggetto, degli obblighi in materia di gestione dei rischi di cibersicurezza previsti dall'articolo 21. La disposizione rafforza la responsabilizzazione degli organi di gestione, ma non introduce una regola secondo cui un incidente informatico determina automaticamente una responsabilità personale degli amministratori.

Per le organizzazioni italiane, la formulazione è particolarmente significativa. L'articolo 23 del decreto legislativo n. 138/2024 stabilisce che gli organi di amministrazione e gli organi direttivi dei soggetti essenziali e importanti sono responsabili delle violazioni previste dal decreto.

L'articolo 38 aggiunge un ulteriore profilo sul piano dell'applicazione delle norme. Prevede che determinate persone fisiche responsabili di un soggetto essenziale, o che agiscono in qualità di suo rappresentante legale con l'autorità di rappresentarlo, prendere decisioni per suo conto o esercitare un controllo sul soggetto stesso, possano essere ritenute responsabili dell'inadempimento in caso di violazione del decreto da parte del soggetto che rappresentano.

Se il soggetto non adempie entro i termini stabiliti dalla diffida, l'articolo 38 consente inoltre l'applicazione, nei confronti delle persone individuate dalla disposizione, della sanzione amministrativa accessoria dell'incapacità a svolgere funzioni dirigenziali all'interno del medesimo soggetto, finché non siano adottate le misure necessarie a porre rimedio alle carenze o a conformarsi alla diffida.

Queste disposizioni non devono essere interpretate nel senso che ogni attacco informatico andato a buon fine dimostri una carenza da parte del management. Un incidente può verificarsi anche quando un'organizzazione ha adottato misure adeguate. Le questioni rilevanti sotto il profilo della governance sono piuttosto se l'organizzazione abbia rispettato i propri obblighi in materia di gestione dei rischi di cibersicurezza e se il management abbia esercitato correttamente il proprio ruolo nell'approvare, supervisionare e affrontare i rischi e le misure che richiedevano la sua attenzione.

Per questo è importante che il processo di governance lasci una traccia documentale adeguata. L'organizzazione dovrebbe essere in grado di ricostruire come è stato individuato un rischio significativo, quale risposta è stata approvata, se l'azione concordata è stata attuata e cosa è accaduto quando le circostanze sono cambiate.

Una piattaforma GRC può supportare questo processo mantenendo collegati i rischi significativi, gli interventi correttivi e le decisioni del management, e conservando le evidenze relative all'attuazione, all'escalation e al riesame. Il valore non consiste semplicemente nel centralizzare le informazioni, ma nell'aiutare il management a individuare quando una misura concordata non procede più secondo i tempi previsti o non produce più i risultati attesi.

Conclusioni

La NIS2 rende il coinvolgimento del management nella cibersicurezza più esplicito e più rilevante sul piano delle responsabilità. L'approvazione delle misure di gestione dei rischi di cibersicurezza non è più un passaggio di governance meramente formale: è collegata alla supervisione della loro attuazione, ai flussi informativi verso il management e alla responsabilità in caso di mancato rispetto degli obblighi.

Il cambiamento concreto consiste quindi nel passaggio da un’approvazione formale a una supervisione continua.

Per le organizzazioni, ciò significa creare un collegamento chiaro tra i rischi significativi, le misure adottate per affrontarli, le persone responsabili della loro attuazione e le informazioni che devono raggiungere il management quando un intervento correttivo subisce ritardi o il livello di rischio cambia.

L’obiettivo non è coinvolgere il management in ogni questione di cibersicurezza. È evitare che rischi e carenze rilevanti rimangano confinati ai team operativi quando richiedono una decisione di governance e fare in modo che l’organizzazione sia in grado di dimostrare come tali decisioni siano state assunte e successivamente attuate.