Un amministratore è personalmente responsabile secondo la NIS2?
La direttiva NIS2 non regola solo ciò che un'organizzazione deve fare dal punto di vista tecnico e organizzativo, ma si rivolge anche agli organi di governo stessi. La direttiva richiede ai membri degli organi di governo di approvare le misure di gestione dei rischi, di esercitare vigilanza sulla loro attuazione e di ricevere formazione in merito. Questo è un ruolo diverso da quello del dipartimento IT o di un fornitore esterno, e questo ruolo non può essere delegato.
Se ciò comporta anche responsabilità personale di un membro individuale dell'organo di governo dipende dalla legge nazionale che recepisce la direttiva e dalle norme più ampie del diritto societario del paese in cui l'organizzazione ha sede. Nei Paesi Bassi, questo avviene attraverso la Cyberbeveiligingswet e le norme esistenti sulla responsabilità dei membri degli organi di governo per cattiva gestione. Ciò che è precisamente stabilito in proposito e ciò che è ancora in fase di sviluppo è meglio discuterlo con un avvocato; questo articolo descrive la linea principale, non la vostra situazione individuale.
Ciò che la direttiva richiede all'organo di governo
L'obbligo di diligenza che deriva da NIS2 consiste di due livelli che si integrano a vicenda. Il primo livello è l'organizzazione: le dieci misure che costituiscono il dossier di cybersicurezza, dal controllo degli accessi alla gestione degli incidenti. Il secondo livello è l'organo di governo: deve conoscere queste misure, approvarle e controllarle. Ciò non significa che un membro dell'organo di governo debba comprendere personalmente la tecnica in dettaglio, ma significa che deve sapere quali rischi corre l'organizzazione, quali scelte sono state fatte in merito e se tali scelte vengono rispettate. Chi vuole sapere esattamente quali misure vi sono incluse, troverà una panoramica in la panoramica di tutti gli argomenti NIS2.
Perché questo non può essere esternalizzato
È molto comune che un'organizzazione affidi l'attuazione delle misure di sicurezza a un fornitore IT, un fornitore di servizi gestiti o un responsabile della sicurezza interno. Questo è permesso, e per molte organizzazioni PMI è anche l'unica strada realistica. Ma la direttiva fa distinzione tra esecuzione e responsabilità. Un fornitore può gestire un firewall, implementare una politica per le password o eseguire un backup; l'organo di governo rimane colui che deve essere in grado di dimostrare di sapere cosa sta succedendo e di avere consapevolmente scelto di procedere così. Un contratto con un fornitore disciplina l'esecuzione, non il coinvolgimento di governo che la direttiva richiede.
Ciò tocca anche il tema della catena di fornitura. Un'organizzazione che ricade essa stessa sotto NIS2 deve esercitare vigilanza sui rischi che i fornitori comportano — da qui il motivo per cui le aziende PMI ricevono questionari sulla sicurezza dai loro clienti. La stessa logica si applica internamente: l'organo di governo esercita vigilanza su ciò che l'organizzazione stessa fa, anche se il lavoro stesso viene svolto altrove.
Cosa significa esercitare vigilanza nella pratica
Esercitare vigilanza non è una questione di firmare un documento una sola volta. La direttiva parla di approvazione delle misure e di formazione, il che suggerisce che si tratta di un processo ricorrente: verificare periodicamente se le misure sono ancora appropriate, se sono state attuate e se c'è qualcosa di cambiato che richieda aggiustamenti. Per un membro dell'organo di governo senza background tecnico, la forma più pratica di solito è un registro fisso: quali misure ci sono, qual è lo stato, chi è il responsabile e quale documentazione vi è associata. Senza un tale registro, è difficile dimostrare che la vigilanza è stata esercitata, anche se di fatto è avvenuta.
Ciò che sappiamo e non sappiamo con certezza
La direttiva stessa descrive il ruolo dell'organo di governo a livello europeo; come questo si concretizza nel diritto della responsabilità civile varia da paese a paese, e la legislazione nazionale non è definitiva dappertutto nello stesso momento. Le autorità di vigilanza pubblicano la loro interpretazione in merito, e questa interpretazione può cambiare. Noi la monitoriamo per paese e per fonte, con la data in cui abbiamo visto una pubblicazione; come funziona esattamente questa raccolta di fonti è spiegato in la pagina su come monitoriamo le fonti. Per un giudizio sulla responsabilità personale di un amministratore specifico in un'organizzazione specifica, il consulente legale o l'autorità competente di vigilanza rimangono il punto di contatto appropriato.
Ciò che potete documentare
Anche senza certezza legale completa sulla responsabilità personale, c'è lavoro pratico da svolgere: documentare quali misure esistono, chi le gestisce e quando l'organo di amministrazione le ha discusse per l'ultima volta. Questo è esattamente lo scopo del cyber-dossier — un registro dinamico anziché una relazione una tantum. Se volete prima sapere se la vostra organizzazione rientra direttamente nell'obbligo di diligenza o se è interessata attraverso la catena di approvvigionamento, il controllo NIS2 gratuito vi fornisce una prima indicazione in poche domande, con la spiegazione del motivo.
Cominciate da dove siete ora: consultate il controllo NIS2 gratuito o sfogliate la knowledge base per vedere quali argomenti sono rilevanti per la vostra organizzazione.