NIS2 per il consiglio: cosa deve sapere chi decide
Trasformare una direttiva in decisioni che il board può davvero prendere.
La NIS2 alza l’asticella su governance, gestione del rischio e segnalazione degli incidenti. Per il board, il cambiamento non è tecnico: è di responsabilità.
Tre domande che un board dovrebbe porsi
Rientriamo nell’ambito, e come? Dove si concentrano le nostre lacune rispetto alla direttiva? E siamo in grado di segnalare un incidente entro le scadenze, nel giorno che conta?
La prima domanda sembra banale e non lo è: l’ambito dipende dal settore e dalla dimensione, ma anche dal ruolo nella catena di fornitura. Molte aziende scoprono di rientrare non perché «essenziali», ma perché forniscono chi lo è. La seconda — dove sono le lacune — richiede evidenze, non opinioni: gestione del rischio approvata dai vertici, governance dell’organo di gestione, controllo dei fornitori ICT critici, capacità di notifica. La terza si prova, non si dichiara: un processo di segnalazione mai esercitato è un’ipotesi, e le scadenze (pre-allerta 24 ore, notifica 72 ore) non lasciano spazio all’improvvisazione.
Proporzionata, non di facciata
La direttiva premia la sostanza sulla carta. Una roadmap prioritizzata e con costi definiti, approvata dal board, batte un faldone che nessuno legge.
«Proporzionata» non significa fare il minimo: significa far corrispondere lo sforzo al rischio reale, e saperlo spiegare. Un board che approva un programma dovrebbe poterlo riassumere in poche frasi — cosa proteggiamo, da cosa, con quale priorità e a quale costo. Se nessuno sa spiegarlo, non è un programma: è un elenco di acquisti.
Parta da un assessment a prezzo fisso, così il costo è noto prima di iniziare — e il risultato è un piano che è Suo.
