Agenzia nazionale per la cybersicurezza: aggiornate le FAQ su ruoli e compiti degli organi di amministrazione dei soggetti NIS.

L'Agenzia per la Cybersicurezza Nazionale ha aggiornato le FAQ relative agli obblighi degli organi di amministrazione e direttivi dei soggetti NIS. L'aggiornamento fornisce indicazioni interpretative su alcuni aspetti applicativi della disciplina NIS 2, contribuendo a chiarire il ruolo degli organi di amministrazione e direttivi nell'ambito del sistema di governance della cybersicurezza.

Con riferimento alle responsabilità degli organi di amministrazione, si conferma che l'approvazione dei documenti previsti dall'articolo 23 del decreto NIS costituisce una competenza esclusiva dell'organo collegiale o, ove previsto, dell'organo monocratico e non può essere delegata. Rimane invece delegabile lo svolgimento delle attività necessarie all'attuazione operativa degli obblighi previsti dalla normativa.

Si precisa poi che i documenti da sottoporre all'approvazione degli organi di amministrazione devono definire gli indirizzi e la pianificazione strategica delle misure di sicurezza. La documentazione di natura tecnica e operativa, quali procedure, istruzioni operative e manuali, può essere predisposta e aggiornata dalle strutture competenti senza necessità di approvazione da parte degli organi di governo.

Si chiarisce inoltre che i soggetti NIS possono organizzare la documentazione secondo le modalità ritenute più idonee, sia mediante un unico documento sia attraverso un insieme di documenti tra loro coordinati. L'aggiornamento dei documenti tecnici e organizzativi richiamati nella documentazione strategica non comporta la necessità di una nuova approvazione di quest'ultima.