Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
Partire da mandato e responsabilità
Il Piano Triennale 2024–2026 tratta la sicurezza come componente trasversale della trasformazione digitale e attribuisce al RTD e all’Ufficio per la transizione digitale un ruolo di raccordo. Questo non trasferisce automaticamente al RTD ogni compito operativo: responsabilità, autorità e sostituzioni devono essere definite dall’ente.
Il vertice approva priorità e rischio residuo; i responsabili dei servizi validano impatti e requisiti; le funzioni tecniche applicano e monitorano i controlli. DPO, gestione documentale, acquisti e comunicazione partecipano secondo competenza. Gli eventuali obblighi NIS2 vanno verificati sul perimetro concreto, senza presumere che ogni PA sia soggetta allo stesso modo.
- Atto o matrice di assegnazione delle responsabilità
- Responsabile e sostituto per ogni servizio digitale
- Flusso di escalation tecnico e direzionale
- Raccordo tra RTD, sicurezza, privacy e gestione documentale
- Verifica motivata degli obblighi applicabili
Collegare sicurezza e servizi prioritari
Il perimetro deve partire dai servizi erogati a cittadini, imprese e altre amministrazioni e dai processi interni che li rendono possibili. Per ogni servizio occorre conoscere dati, identità, applicazioni, infrastrutture, sedi, persone e dipendenze esterne.
La priorità non coincide necessariamente con il sistema più costoso. Un servizio semplice può avere scadenze inderogabili o sostenere diritti essenziali. La valutazione deve produrre requisiti di disponibilità, integrità, riservatezza e continuità comprensibili anche alla direzione.
- Catalogo dei servizi e relativo proprietario
- Dati trattati e utenti coinvolti
- Impatto di indisponibilità o alterazione
- Dipendenze tecniche e organizzative
- RTO, RPO e modalità alternativa
Governare fornitori e incidenti
Il Piano Triennale richiama la gestione del rischio cyber anche negli approvvigionamenti. Contratto e capitolato devono quindi tradurre il rischio in requisiti verificabili: accessi, logging, vulnerabilità, subfornitori, continuità, notifica degli incidenti, restituzione dei dati e supporto all’uscita.
Durante un incidente l’ente mantiene responsabilità decisionali e deve poter accedere a contatti, log ed evidenze senza dipendere da una singola persona del fornitore. Esercitazioni periodiche permettono di verificare ruoli e tempi prima dell’emergenza.
Domande frequenti
Il RTD è automaticamente responsabile di tutta la cybersecurity?+
No. Il RTD ha un ruolo centrale nella transizione digitale, ma l’ente deve assegnare in modo esplicito responsabilità decisionali e operative alle diverse funzioni.
Tutte le PA rientrano nella NIS2?+
L’applicabilità dipende dai criteri del D.Lgs. 138/2024 e dai successivi atti pertinenti. Occorre una verifica motivata sul singolo ente, non una conclusione generale.
Esternalizzare un servizio trasferisce il rischio?+
No. Il fornitore assume obblighi contrattuali e operativi, ma l’amministrazione deve governare servizio, dati, controlli, incidenti e continuità.