il questionario chiede un contatto per la sicurezza, chi deve essere presso di noi

La persona di contatto è un ruolo, non un nome nel questionario

Indicare colui che è internamente responsabile delle misure di sicurezza, non necessariamente il proprietario o l'amministratore. In pratica, è la persona che è anche coinvolta in il processo di identificazione e correzione delle vulnerabilità e in la procedura per la gestione degli incidenti di sicurezza — spesso quindi la stessa persona che internamente è il punto di contatto se qualcosa va male. In una piccola azienda è spesso l'imprenditore stesso o l'amministratore IT; in un'azienda più grande un responsabile della sicurezza o qualcuno con un titolo di funzione simile. Più importante del titolo è che questa persona sia raggiungibile e sappia cosa sta accadendo, poiché il cliente utilizza questo contatto soprattutto in caso di incidente o audit.

Preferibilmente inserire una cassetta postale di ruolo o funzione piuttosto che un nome privato, se possibile: ciò evita che il questionario diventi obsoleto non appena qualcuno cambia funzione. Un indirizzo come "security@" o "ciso@" funziona per il cliente altrettanto bene di un nome ed è più stabile. Se l'organizzazione non ha ancora una funzione separata per questo, è consueto indicare il responsabile generale dell'IT o delle operazioni aziendali — purché questa persona sia effettivamente contattabile sui contenuti, non solo per nome.

Da dove proviene questo: articolo 21 e il ruolo della governance

L'articolo 21 paragrafo 2 della direttiva NIS2 non menziona una persona di contatto come requisito separato, ma le dieci misure ivi elencate — tra cui la gestione dei rischi, la gestione degli incidenti e la continuità aziendale — presuppongono comunque che qualcuno le assuma internamente e sia contattabile. I clienti che pongono questa domanda stanno quindi verificando in realtà se esiste una politica per l'analisi dei rischi e la protezione dei sistemi informativi e se questa politica ha un proprietario. ISO/IEC 27001 lo articola in modo più concreto: l'Allegato A contiene misure sui ruoli e le responsabilità all'interno della sicurezza informatica, e una persona di contatto designata è spesso la prova visibile di ciò. La Legge olandese sulla sicurezza informatica, che traspone la direttiva NIS2 ed entra in vigore il 15 agosto 2026, non aggiunge a questo proposito alcun requisito separato rispetto a quanto già contenuto nella direttiva.