Responsabilità dei vertici ai sensi della NIS2: cambierà il modo di agire dei consigli di amministrazione?

Per vent'anni, i responsabili della sicurezza hanno chiesto ai consigli di amministrazione di prendere sul serio la cybersecurity, con risultati alterni. La NIS2 cambia la struttura degli incentivi. L'Articolo 20 impone agli organi di gestione dei soggetti in ambito di approvare le misure di gestione del rischio cyber, supervisionarne l'attuazione e seguire di persona una formazione, e li rende responsabili per le violazioni. Per i soggetti essenziali, le autorità nazionali possono in alcune circostanze chiedere la sospensione temporanea di un dirigente dall'esercizio delle funzioni di gestione.

Cambierà il modo di agire dei consigli? Penso di sì, ma non automaticamente, e non sempre nel modo che i team di sicurezza si aspettano.

Cosa dovrebbe cambiare

• L'approvazione diventa concreta. Un consiglio che deve approvare le misure, e può essere chiamato a risponderne, ha motivo di capire ciò che sta approvando.
• La formazione smette di essere facoltativa. Gli amministratori devono seguire una formazione sufficiente a identificare i rischi e valutare le pratiche di gestione. Molti consigli avranno, per la prima volta, una base comune di comprensione.
• La supervisione acquista struttura. La reportistica periodica su misure, incidenti e avanzamento diventa un obbligo di legge, non una cortesia.

Cosa potrebbe andare storto

• La responsabilità può favorire la compilazione di checklist. I consigli preoccupati per la propria esposizione personale potrebbero chiedere prove di conformità anziché prove di sicurezza: più attestazioni, più documenti, gli stessi rischi.
• La formazione può ridursi a un adempimento formale. Un video annuale di un'ora soddisfa la lettera del requisito e non cambia nulla.
• I team di sicurezza possono fare affidamento eccessivo sulla paura. «Potresti essere ritenuto responsabile» attira l'attenzione una volta sola. Non sostiene un programma.

Cosa dovrebbero fare ora i consigli

1. Capire quali misure stanno approvando. L'Articolo 21 elenca dieci ambiti; il Regolamento di esecuzione li dettaglia per i fornitori digitali. Chiedete una visione di una pagina su dove si colloca l'organizzazione per ciascuno.
2. Chiedere risultati, non documenti. In quanto tempo potremmo segnalare un incidente significativo? Quando abbiamo eseguito l'ultimo ripristino da backup? Quali fornitori potrebbero bloccarci?
3. Usare un framework che il consiglio possa leggere. La funzione Governare di NIST CSF 2.0 copre esattamente il territorio del consiglio: contesto, strategia di rischio, ruoli, politiche, supervisione e supply chain. Vedi reportistica al consiglio con i profili CSF.
4. Rendere la formazione sostanziale: basata su scenari, specifica per il business, ripetuta.

Domande che un consiglio può porre già domani

Il consiglio non deve diventare un esperto di sicurezza per supervisionarla bene. Deve porre domande a cui non si può rispondere con un documento:

• Se stanotte il nostro sistema più importante fosse cifrato da un ransomware, quanto tempo passerebbe prima di tornare operativi, e quando abbiamo testato l'ultima volta questo scenario?
• Quali tre fornitori potrebbero causarci il danno maggiore, e cosa sappiamo della loro sicurezza?
• Quante vulnerabilità critiche sono aperte sui sistemi esposti a internet, e qual è l'età della più vecchia?
• Chi decide se un incidente è abbastanza significativo da essere segnalato entro 24 ore, e l'hanno mai esercitato?
• Cosa hanno rilevato il nostro ultimo audit o assessment, e cosa è cambiato da allora?

Le risposte dovrebbero essere accompagnate da evidenze: risultati di test, metriche, date. Col tempo, le domande del consiglio plasmano ciò che il management misura, ed è esattamente la supervisione che l'Articolo 20 richiede. La gap analysis mostra quali misure NIS2 il vostro attuale framework già copre.

Punti chiave

• L'Articolo 20 obbliga i consigli ad approvare, supervisionare e formarsi in materia di cybersecurity.
• La responsabilità può favorire una supervisione reale oppure più burocrazia.
• I consigli dovrebbero chiedere risultati ed evidenze, non documenti.

L'opportunità

L'Articolo 20 assegna ai responsabili della sicurezza l'attenzione del consiglio per legge. Il modo migliore di usarla non è agitare la clausola di responsabilità, ma portare al consiglio decisioni concrete: quale rischio è disposto ad accettare, cosa finanzierà e cosa si aspetta di vedere. Questo è governance. Il resto è burocrazia.

Per il quadro complessivo, vedi la guida NIS2 e il nostro articolo sulla procedura di segnalazione degli incidenti NIS2. La pagina del framework NIS2 mappa ogni punto del Regolamento di esecuzione rispetto a dieci framework.

Domande

Cosa richiede l'Articolo 20 della NIS2 agli organi di gestione?

Gli organi di gestione dei soggetti essenziali e importanti devono approvare le misure di gestione del rischio cyber, supervisionarne l'attuazione, seguire una formazione e possono essere ritenuti responsabili per le violazioni. Gli Stati membri incoraggiano anche una formazione periodica per il personale.

I membri del consiglio possono essere personalmente responsabili ai sensi della NIS2?

La NIS2 impone agli Stati membri di garantire che la direzione possa essere ritenuta responsabile per le violazioni e, per i soggetti essenziali, consente in alcuni casi divieti temporanei dalle funzioni di gestione. Il funzionamento della responsabilità dipende dal diritto nazionale.

Quale formazione devono seguire gli organi di gestione della NIS2?

Formazione sufficiente per acquisire conoscenze e competenze per identificare i rischi e valutare le pratiche di gestione dei rischi di cybersecurity e il loro impatto sui servizi forniti dal soggetto. Il formato è a discrezione del soggetto e del diritto nazionale.