chiedono chi è il nostro CISO ma non abbiamo nessuno con quel titolo

Nessun CISO necessario, ma un punto di contatto per la sicurezza

Qui di solito puoi semplicemente compilare "no", senza che ciò costituisca una carenza. Nessuno dei dieci provvedimenti dell'articolo 21 paragrafo 2 della direttiva NIS2 prescrive un titolo di funzione. La direttiva disciplina gli obblighi a livello organizzativo — governance, gestione dei rischi, gestione degli incidenti — non come li distribuisci internamente o come si chiama quel ruolo. Un CISO ("Chief Information Security Officer") è un modo per rispondere a questo, soprattutto nelle organizzazioni più grandi, ma non un requisito. In ISO/IEC 27001 è lo stesso: l'Annex A richiede responsabilità definite per la sicurezza delle informazioni, non un titolo specifico in busta paga.

Quello che il vostro cliente vuole effettivamente sapere è chi è internamente responsabile e contattabile in caso di incidente. In una piccola impresa, spesso è il proprietario stesso, il responsabile IT, o qualcuno che si occupa di sicurezza insieme ad altri compiti. Compilate questo come risposta alla domanda di fondo: nome, funzione, e eventualmente come contattare questa persona. Questo si allinea anche a chi risponde se c'è un incidente di sicurezza informatica — di solito è la stessa persona o lo stesso team. Sei incerto se il tuo cliente si accontenterà di "nessun CISO, ma un responsabile"? Allora non confermarne la risposta alla cieca con "sì" — questa è una valutazione che spetta a chi presenta, non a un dossier compilato automaticamente.

Dove risulta: articolo 21 paragrafo 2 e Annex A

L'articolo 21 paragrafo 2 della direttiva NIS2 cita dieci categorie di provvedimenti, tra cui gestione dei rischi, gestione degli incidenti e politica di accesso, ma nessun nome di ruolo. La legge olandese sulla cibersicurezza, che recepisce questa direttiva ed entra in vigore il 15 agosto 2026, segue lo stesso approccio. ISO/IEC 27001 Annex A richiede nella sezione sull'organizzazione della sicurezza delle informazioni responsabilità assegnate, non un titolo di funzione. Se vuoi verificare se la tua organizzazione stessa rientra negli obblighi della NIS2, questa è una domanda separata che non riguarda questa — per questo guarda se l'organizzazione come entità rientra nella direttiva NIS2.