chi è responsabile della compilazione del questionario sulla sicurezza

L'assegnazione dei ruoli non è di per sé un requisito normativo, ma la risposta deve essere verificabile

Il questionario stesso non prescrive chi lo compila; l'articolo 21 comma 2 NIS2 e l'Allegato A della ISO/IEC 27001 riguardano le misure che un'organizzazione adotta, non il funzionario che firma il modulo. In pratica è solitamente la persona che conosce la politica di sicurezza delle informazioni: un responsabile della sicurezza, un IT manager o, nelle aziende più piccole, lo stesso direttore. Nel caso di un certificato ISO 27001 c'è spesso già un responsabile designato nel sistema di gestione — quel nome è allora il punto di contatto logico per questo questionario.

Ciò che è certo: le risposte devono avere una base. Se una domanda riguarda la sicurezza degli accessi, qualcuno deve essere in grado di indicare quale politica o quale misura la sottende — non compilare a memoria, ma ricavare da un dossier. Questo rende meno una questione di "chi può compilarlo" e più di "chi ha a portata di mano i fatti sottostanti". La stessa persona è spesso anche colei che può valutare se l'impresa impiega sistemi di IA nell'ambito della sua fornitura di servizi, poiché ciò riguarda lo stesso inventario tecnico. In caso di dubbio su chi internamente è responsabile di una risposta, è spesso la stessa persona che gestisce anche il piano di continuità in caso di grave perturbazione — i due argomenti si sovrappongono quanto al materiale di base.

Da dove deriva: articolo 21 paragrafo 2 e Allegato A

L'articolo 21 comma 2 NIS2 elenca dieci categorie di misure, tra cui la gestione del rischio, la gestione degli incidenti e la politica di accesso — la direttiva disciplina il contenuto di tali misure, non chi le segnala internamente. La norma ISO/IEC 27001 Allegato A lo specifica in misure di controllo concrete, e le organizzazioni certificate hanno solitamente già designato un responsabile nel loro sistema di gestione. Quella ripartizione dei ruoli già esistente è la fonte più ovvia su cui fare affidamento quando si compila un questionario sulla sicurezza.