Il documento “Organizzazione per la sicurezza informatica” è uno dei documenti obbligatori in Appendice C e richiede approvazione degli organi di amministrazione e direttivi ai sensi di GV.RR-02 punto 1. In pratica, questo documento stabilisce chi decide, chi esegue e come funzionano escalation e reporting in ambito cyber.
Punti chiave
- Il documento di organizzazione cybersecurity è esplicitamente elencato in Appendice C e richiede approvazione formale.
- Un organigramma generico non basta: ruoli, responsabilità e diritti decisionali devono essere espliciti.
- Il documento deve collegare supervisione degli organi, ownership operativa e output di evidenza.
- Un template strutturato riduce ambiguità e accelera i cicli approvativi.
Cosa deve dimostrare il documento
| Obiettivo di governance | Output minimo atteso | Evidenze da mantenere |
|---|---|---|
| Accountability chiara | Ruoli di governance e operativi nominati | Atti di nomina dei ruoli |
| Ownership decisionale | Catena di approvazione ed escalation definita | Matrice approvativa e verbali |
| Continuità operativa | Modello sostituzioni e disponibilità ruoli | Tabella sostituti e handover |
| Tracciabilità esecuzione | Mappatura ruolo-controllo | Matrice RACI collegata ai controlli |
Struttura template consigliata (pratica)
1. Finalità, perimetro e riferimenti
Dichiarare che il documento disciplina l’organizzazione cybersecurity ai fini baseline NIS e citare i riferimenti normativi/ACN.
2. Modello di governance
Descrivere supervisione degli organi, responsabilità direzionali e cadenza del reporting.
3. Ruoli e responsabilità
Definire ciascun ruolo (ad esempio: sponsor governance, owner cybersecurity, owner decisionale incidente, referente CSIRT) con compiti espliciti.
4. Workflow di escalation e decisione
Mappare trigger, decisioni, approvatori e tempi di risposta per gli eventi cyber rilevanti.
5. Interfacce con altri documenti obbligatori
Mostrare il collegamento con documenti di rischio, incidenti, continuità e formazione per evitare silos.
6. Ciclo approvazione e riesame
Inserire blocco approvativo formale, prossima data di riesame e processo di change management.
Errori frequenti di redazione
- Usare job title senza accountability nominale.
- Non prevedere sostituti per funzioni critiche.
- Assenza di collegamento tra ruoli di governance e controlli operativi.
- Sezione governance non allineata agli obblighi di notifica incidenti già in vigore.
- Pagina firme presente ma cadenza di riesame non definita.
Checklist implementativa 20 giorni
- Confermare ruoli cyber correnti di governance e operation.
- Costruire mappa RACI ruolo-controllo.
- Definire percorso escalation con authority approvativa per ogni step.
- Inserire copertura sostituti e continuità sui ruoli critici.
- Allineare il documento con gestione incidenti e documentazione rischio.
- Eseguire review legale/compliance prima del passaggio agli organi.
FAQ
Questo documento richiede davvero approvazione degli organi?
Sì. L’Appendice C elenca “Organizzazione per la sicurezza informatica” con riferimento GV.RR-02 punto 1 e ne richiede l’approvazione da parte degli organi di amministrazione e direttivi.
Possiamo riusare l’organigramma IT esistente?
Solo in parte. Servono ruoli cyber con compiti di governance espliciti, ownership escalation e tracciabilità delle responsabilità.
Qual è il modo più rapido per renderlo approvabile?
Usare un template standard con sezioni fisse di governance, catalogo ruoli, mappatura RACI e blocchi preimpostati di approvazione/riesame.
Conclusione e prossimi passi
Un documento di organizzazione cybersecurity difendibile deve rendere auditabili le decisioni di governance e non ambigua l’esecuzione operativa. Se oggi il team lavora su note organizzative frammentate, conviene passare subito a un workflow template strutturato e anticipare l’approvazione degli organi nel percorso verso ottobre 2026.
Letture correlate
- Guida master ai documenti obbligatori NIS2: cosa va approvato dagli organi e cosa preparare subito
- Documento NIS2 sulle politiche di sicurezza informatica: guida pratica per approvazione GV.PO-01
- Architettura Normativa NIS2 e Modello Ruoli in Italia: Chi Risponde di Cosa
- Servizio Aegister NIS2 Compliance
- Servizio Aegister Virtual CISO
