Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
La responsabilità non è delegabile all’IT
La direttiva attribuisce all’organo di gestione un ruolo nell’approvazione delle misure di gestione del rischio e nella supervisione della loro attuazione. Tecnici e consulenti supportano le decisioni, ma non sostituiscono la governance.
Per decidere servono informazioni comprensibili: servizi critici, scenari, impatti, rischio residuo, investimenti e responsabilità.
- Approvare indirizzi e priorità
- Assegnare responsabilità e risorse
- Ricevere indicatori periodici
- Verificare avanzamento ed eccezioni
- Sovraintendere alla risposta agli incidenti
Formazione mirata alla direzione
La formazione dell’organo di gestione non dovrebbe replicare un corso tecnico. Deve permettere di comprendere obblighi, rischio, dipendenze e conseguenze delle decisioni.
Una sessione efficace utilizza scenari dell’organizzazione: ransomware, indisponibilità di un fornitore, compromissione della posta o perdita di un servizio essenziale.
Quali evidenze conservare
Verbali, delibere, report, registro dei rischi e piani approvati dimostrano che il governo cyber è integrato nei processi decisionali.
La frequenza del riesame dipende dal rischio e dagli eventi, ma dovrebbe essere definita e aumentare in presenza di incidenti o cambiamenti significativi.
Domande frequenti
La direzione deve conoscere i dettagli tecnici?+
Non tutti. Deve comprendere rischio, impatti, alternative, responsabilità e criteri con cui le misure vengono considerate adeguate.
Basta una formazione una tantum?+
No. Il contesto cambia; formazione e aggiornamenti devono essere periodici e collegati ai rischi reali.
Che cosa deve arrivare alla direzione?+
Un quadro sintetico di servizi critici, principali rischi, incidenti, stato delle misure, eccezioni e decisioni richieste.