Ruoli e responsabilità NIS2: l'organizzazione per la sicurezza e il referente CSIRT

Una delle prime domande di un controllo NIS2 è anche la più semplice: chi si occupa della sicurezza, qui? La risposta non può essere «il fornitore IT» o «un po' tutti». Le misure di sicurezza di base dell'ACN chiedono un'organizzazione per la sicurezza informatica scritta, approvata dall'organo di amministrazione, con un elenco di nomi e un riesame almeno ogni due anni (misura GV.RR-02), e regole su chi può accedere ai sistemi più importanti e su chi li amministra (GV.RR-04).

Questa guida spiega chi deve comparire nell'organizzazione, cosa dice l'ACN sul punto di contatto, sul referente CSIRT e sul «CISO», come includere le persone dei fornitori e quali prove tenere.

Cosa chiede l'ACN

I requisiti sono nella determinazione ACN 379907/2025 (allegato 1 per gli importanti, allegato 2 per gli essenziali):

Per l'ACN l'organizzazione per la sicurezza è l'insieme delle funzioni che governano e gestiscono la sicurezza dei sistemi informativi e di rete, comprese quelle di eventuali terze parti coinvolte (guida alla lettura v2.1, appendice D). Va definita con ruoli e responsabilità, approvata dall'organo di amministrazione e resa nota alle funzioni interessate (GV.RR-02, punto 1), accompagnata da un elenco aggiornato delle persone (punto 2) e riesaminata almeno ogni due anni, oppure prima dopo un incidente significativo, una riorganizzazione o un cambiamento delle minacce (punto 4).

Il decreto, per parte sua, chiede misure sulla «sicurezza e affidabilità del personale» (d.lgs. 138/2024, art. 24, c. 2, lett. i) e lascia all'organo di amministrazione l'approvazione e la responsabilità (art. 23, c. 1). L'approvazione dell'organizzazione per la sicurezza è tra i documenti che l'organo non può delegare (FAQ ACN ODA.8 e ODA.10).

Chi deve comparire, ruolo per ruolo

Punto di contatto e sostituto

Il punto di contatto è la persona che tiene i rapporti con l'ACN e cura gli adempimenti sulla piattaforma (art. 7, c. 1, lett. c; det. ACN 314287/2026, art. 4). Può essere il legale rappresentante, un procuratore o un dipendente delegato, non servono competenze specifiche e riferisce direttamente al vertice (FAQ PDC.1). Non risponde delle violazioni: la responsabilità resta degli organi di amministrazione (PDC.3). Punto di contatto e sostituto non si possono esternalizzare, anche se possono farsi aiutare da consulenti esterni (FAQ RR.3). Entrambi devono comparire nell'organizzazione per la sicurezza (GV.RR-02, punto 3). Come si nominano lo spieghiamo in registrazione e punto di contatto.

Referente CSIRT e sostituti

Il referente CSIRT parla con il CSIRT Italia e invia le notifiche degli incidenti (FAQ RCS.2 e RCS.6). Lo designa il punto di contatto entro il 31 dicembre dell'anno di ingresso nell'elenco NIS (det. 314287/2026, art. 7). Servono competenze di base in sicurezza e gestione degli incidenti e una conoscenza approfondita dei sistemi; può essere anche esterno, per esempio il responsabile del SOC o della gestione IT affidata a un fornitore, anche se l'ACN auspica che sia interno. Nelle organizzazioni piccole può coincidere con il punto di contatto, ma allora deve essere interno (FAQ RCS.1). È una delega operativa, non di responsabilità (RCS.2). Anche lui e i suoi sostituti vanno nell'organizzazione per la sicurezza (GV.RR-02, punto 3), e i suoi compiti si legano al piano di gestione degli incidenti. Tutto sul ruolo, dalla designazione alle differenze con il punto di contatto, è nella guida sul referente CSIRT.

Il «CISO» o responsabile della sicurezza

Le misure dell'ACN non impongono una figura con questo nome: chiedono che ruoli e responsabilità siano definiti. In una media impresa serve comunque qualcuno che coordini il lavoro, tenga i documenti e prepari riesami e relazioni per l'organo: spesso è il responsabile IT o dell'organizzazione, con il supporto di un consulente. L'importante è che il ruolo sia scritto, con un nome, e che abbia tempo e autorità per farlo. Il CISO non fa parte degli organi di amministrazione e non va indicato tra i loro componenti all'ACN, salvo che sieda anche nel consiglio (FAQ ODA.2).

Amministratori di sistema e chi accede ai sistemi rilevanti

Gli amministratori di sistema sono le persone con accessi privilegiati per configurare, monitorare, aggiornare o controllare i sistemi: dei sistemi operativi, dei database, degli apparati di rete, delle soluzioni di sicurezza, delle applicazioni (guida alla lettura, appendice D). Vanno individuati dopo una valutazione di esperienza, capacità e affidabilità, e lo stesso vale per chi è autorizzato ad accedere ai sistemi rilevanti (GV.RR-04, punti 1 e 2), con procedure scritte (punto 3). Se trattate dati personali conoscete già il provvedimento del Garante privacy del 27 novembre 2008 sugli amministratori di sistema: i due obblighi si sommano, e conviene gestirli con un unico elenco.

Le persone dei fornitori

Se il tecnico del fornitore IT fa da amministratore di sistema, o il SOC esterno sorveglia la vostra rete, quei ruoli vanno scritti nella vostra organizzazione e quelle persone entrano nell'elenco nominativo (GV.SC-02, punti 1 e 2). È uno dei punti più spesso dimenticati: chi lavora per voi dall'esterno conta come chi lavora dentro. Il resto del rapporto con i fornitori è in NIS2 e fornitori.

Solo per gli essenziali: gli obblighi dopo l'uscita

I soggetti essenziali devono prevedere nei contratti, in base alla valutazione del rischio, gli obblighi di sicurezza che restano validi dopo la fine o il cambio del rapporto di lavoro, per esempio la riservatezza, con procedure scritte (GV.RR-04, punti 4 e 5).

Un esempio per una media impresa

Non c'è un organigramma imposto. Questo è un esempio di come può essere organizzata un'azienda di 150 persone con l'informatica affidata in parte a un fornitore:

Un nome può avere più ruoli, purché il carico sia realistico e le funzioni in conflitto restino separate dove serve, come chiede il principio della separazione delle funzioni per i permessi (PR.AA-05, punto 1).

Le prove da tenere pronte

• il documento dell'organizzazione per la sicurezza, con ruoli, responsabilità e linee di riporto, versione e data;
• la delibera dell'organo di amministrazione che lo approva;
• l'elenco nominativo aggiornato, persone dei fornitori comprese, con ruolo, recapiti e data;
• la comunicazione interna che lo ha fatto conoscere;
• le designazioni di punto di contatto, sostituto e referente CSIRT sulla piattaforma ACN;
• le valutazioni di affidabilità di amministratori di sistema e personale con accesso ai sistemi rilevanti, e la procedura che le regola;
• il verbale dell'ultimo riesame, almeno ogni due anni.

Gli errori più comuni

• L'organigramma senza nomi. Il punto 2 chiede un elenco aggiornato delle persone, non solo delle funzioni.
• Il punto di contatto affidato al consulente. Non si può esternalizzare: il consulente può aiutare, la persona resta interna.
• Il referente CSIRT designato tardi. Senza referente, quando arriva un incidente non c'è chi notifica nei tempi.
• Il fornitore IT fuori dall'elenco. Se i suoi tecnici amministrano i vostri sistemi, devono comparire per nome.
• Gli amministratori di sistema mai valutati. La valutazione di esperienza, capacità e affidabilità va fatta e conservata, anche per chi lavora da anni con voi.
• Confondere i ruoli NIS2 con quelli della privacy. Il responsabile della protezione dei dati del GDPR non è un ruolo della NIS2: può collaborare, ma non sostituisce nessuna delle figure sopra.

Entro quando

L'organizzazione per la sicurezza segue il termine di tutte le misure di sicurezza di base. Il referente CSIRT ha invece una data sua: va designato entro il 31 dicembre dell'anno in cui siete entrati nell'elenco (det. ACN 314287/2026, art. 7), quindi il 31 dicembre 2026 per chi è entrato quest'anno.

• Entrati nell'elenco NIS nel 2025: 18 mesi dalla comunicazione di inserimento (det. ACN 379907/2025, art. 3), cioè entro il 12-13 ottobre 2026 per chi ha ricevuto la PEC il 12-13 aprile 2025. Il termine è passato: se scoprite che qualcosa manca, il decreto chiede di correggere «senza indebito ritardo» (art. 24, c. 4).
• Entrati per la prima volta nel 2026: entro il 31 luglio 2027 (det. ACN 127434/2026).
• Entrati dal 2027: l'ACN non ha ancora fissato il termine.

Lo stesso termine vale per le approvazioni dell'organo di amministrazione (art. 23). Tutte le date sono in scadenze 2026-2027. Dal 18 settembre 2026 l'ACN ha avviato la consultazione sulle misure «rafforzate», che integreranno e sostituiranno quelle di base: al 13 novembre 2026 non sono state adottate, e finché non lo saranno valgono i requisiti di questa pagina.

Da dove partire

1. Scrivete chi fa cosa oggi, compresi i tecnici dei fornitori, e confrontatelo con le figure di questa pagina.
2. Colmate i vuoti: coordinatore, sostituti, referente CSIRT, responsabili dei sistemi rilevanti.
3. Fate approvare l'organizzazione dall'organo di amministrazione e comunicatela.
4. Aggiornate l'elenco a ogni ingresso, uscita o cambio di fornitore, e fissate il riesame tra due anni.

Chi ha un ruolo nella sicurezza ha bisogno anche di una formazione adatta. Se non sapete ancora se siete soggetti NIS, partite dalla verifica gratuita; per una fotografia di tutte le misure c'è l'autovalutazione. Nella quarta tappa di Pilot, «Vertici, ruoli e formazione», mettete in fila chi approva, chi si occupa della sicurezza e la formazione, con i documenti da far approvare: provatela gratis. Se volete disegnare l'organizzazione con un ingegnere, c'è la consulenza NIS2 dello Studio.

Domande frequenti