L'Agenzia per la Cybersicurezza Nazionale ha aggiornato le FAQ relative agli obblighi degli organi di amministrazione e direttivi dei soggetti NIS, integrando le FAQ ODA.8 e ODA.9 e introducendo le nuove FAQ ODA.10, ODA.11 e ODA.12.
L'aggiornamento fornisce indicazioni interpretative su alcuni aspetti applicativi della disciplina NIS 2, contribuendo a chiarire il ruolo degli organi di amministrazione e direttivi nell'ambito del sistema di governance della cybersicurezza.

Con riferimento alle responsabilità degli organi di amministrazione, le FAQ ODA.8 e ODA.9 confermano che l'approvazione dei documenti previsti dall'articolo 23 del decreto NIS costituisce una competenza esclusiva dell'organo collegiale o, ove previsto, dell'organo monocratico e non può essere delegata. Rimane invece delegabile lo svolgimento delle attività necessarie all'attuazione operativa degli obblighi previsti dalla normativa.

La FAQ ODA.10 precisa che i documenti da sottoporre all'approvazione degli organi di amministrazione devono definire gli indirizzi e la pianificazione strategica delle misure di sicurezza. La documentazione di natura tecnica e operativa, quali procedure, istruzioni operative e manuali, può essere predisposta e aggiornata dalle strutture competenti senza necessità di approvazione da parte degli organi di governo.

Le FAQ ODA.11 e ODA.12 chiariscono inoltre che i soggetti NIS possono organizzare la documentazione secondo le modalità ritenute più idonee, sia mediante un unico documento sia attraverso un insieme di documenti tra loro coordinati. L'aggiornamento dei documenti tecnici e organizzativi richiamati nella documentazione strategica non comporta la necessità di una nuova approvazione di quest'ultima.

News archive