La determinazione n. 333017/2025 del 19 settembre 2025, conforme agli articoli 7, commi 3 e 4, del D.lgs. 138/2024 (decreto NIS), prevede l’introduzione, da parte dell’Agenzia per la Cybersicurezza Nazionale (ACN), della figura del referente CSIRT nell’ambito della governance della cybersecurity. In seguito all’istituzione del Punto di contatto e del relativo sostituto, si rende necessario chiarire la struttura organizzativa aziendale dedicata alla cybersecurity.
La nuova architettura delle responsabilità
Il Decreto NIS introduce un quadro stringente per la gestione della sicurezza informatica da parte dei Soggetti Essenziali e Importanti, delineando una netta separazione tra la responsabilità strategica, attribuita agli organi di amministrazione, e le responsabilità operative e di interfaccia, affidate a persone fisiche espressamente incaricate. Il provvedimento individua e articola tre livelli distinti, ma correlati di responsabilità: strategica, di interfaccia e tecnico-operativa.
Il livello strategico: la responsabilità del vertice aziendale
La responsabilità della conformità è affidata agli Organi di Amministrazione, come previsto dall’articolo 23 del decreto NIS. Si tratta di una responsabilità strategica, definita Accountability, che non può essere delegata, collocando la cybersecurity tra le principali tematiche di governance e gestione del rischio aziendale.
Le principali responsabilità ad essi attribuiti rientrano in:
Il livello di interfaccia: il Punto di contatto e il suo Sostituto
Il Punto di Contatto (PdC) rappresenta la figura centrale preposta alla gestione della comunicazione in materia di attuazione operativa del Decreto NIS e funge da unico canale di interlocuzione con l’ACN.
Per sua natura, il PdC deve essere individuato tra persone fisiche – ossia il Rappresentante Legale, un Procuratore o un dipendente appositamente delegato – trattandosi di un ruolo che richiede accesso tramite credenziali personali, sottoscrizione di dichiarazioni e assunzione di responsabilità professionale diretta nei rapporti con l’ACN. La persona giuridica resta il soggetto obbligato agli adempimenti, ma non esecutore degli stessi.
La designazione del PdC si articola in due fasi principali:
Anche il Sostituto Punto di Contatto deve necessariamente essere una persona fisica scelta sempre tra il legale rappresentate, il procuratore o il dipendente appositamente delegato.
Il suo compito è assicurare continuità operativa e reperibilità, subentrando con le medesime responsabilità operative in caso di assenza del PdC titolare. La nomina e la comunicazione del Sostituto seguono la medesima procedura telematica a cura del PdC.
Il livello tecnico: il referente CSIRT
Il Referente CSIRT riveste un ruolo centrale dal punto di vista tecnico-operativo nella gestione degli incidenti di sicurezza informatica, fungendo da interlocutore diretto con lo CSIRT Italia (Computer Security Incident Response Team), organismo che opera sotto la supervisione dell’ACN. Lo CSIRT Italia è preposto alla prevenzione, analisi e gestione degli incidenti informatici che interessano reti e infrastrutture strategiche, oltre a fornire supporto alle organizzazioni coinvolte negli incidenti significativi, affiancandole nelle attività di rilevamento, analisi e risposta alle minacce informatiche.
La designazione del Referente CSIRT segue un flusso interno ed esterno, con una chiara catena di responsabilità:
Al Referente CSIRT è attribuita la responsabilità del contenuto della notifica, con compiti che includono l’identificazione, l’analisi e la raccolta di tutte le informazioni rilevanti sull’incidente, quali gravità, cause e impatti. Parallelamente, il PdC mantiene la responsabilità sulle modalità e sul rispetto delle tempistiche previste per l’inoltro delle notifiche (pre-notifica 24 ore, notifica 72 ore e relazione entro un mese), agendo come unico canale formale di comunicazione con l’ACN.
A differenza del PdC, il referente CSIRT non è soggetto all’obbligo di appartenere all’organizzazione del soggetto NIS. Infatti, la determinazione 333017/2025 non prescrive che il referente debba essere una risorsa interna, limitandosi a richiedere che si tratti di una persona fisica dotata delle competenze tecniche necessarie a ricoprire il ruolo.
Ne consegue che il referente può essere interno oppure esterno, purché abilitato ad operare in nome e per conto dell’organizzazione nell’ambito delle funzioni previste.
In particolare, sarà necessario definire le modalità di accesso ai sistemi informativi, i tempi di risposta in caso di incidente, gli obblighi di segretezza e la titolarità delle comunicazioni trasmesse al CSIRT Italia.
La struttura organizzativa della cybersecurity a tre livelli
| Livello di responsabilità | Ruolo (Persona Giuridica) | Ruolo (Persona Fisica) | Atto di Designazione |
|---|---|---|---|
| Strategico | Soggetto NIS | Organi di Amministrazione | Posizione statutaria |
| Interfaccia | Soggetto NIS | Punto di Contatto NIS (PdC) Sostituto PdC |
Delega/Procura (se non Legale Rappresentante) |
| Operativo | Soggetto NIS | Referente CSIRT | Incarico/Delega interna; Comunicazione telematica del PdC |
Questo sistema assicura che la responsabilità di alto livello sia affiancata da persone fisiche con autorità e competenze chiare, essenziali per la tempestiva attuazione degli obblighi in materia di cybersecurity.
La cyber-Governance per la sfida alla resilienza
Il decreto NIS impone un modello di cyber-governance rigoroso e interconnesso, dove la corretta suddivisione delle responsabilità – dal vertice che approva, al PdC che comunica, al tecnico che gestisce – risulta essenziale.
La sfida per le organizzazioni non è solo evitare le sanzioni, ma abbracciare la resilienza digitale, come prerequisito per la continuità operativa in un contesto di minaccia in continua evoluzione.
Affrontare le sfide imposte dal decreto NIS richiede non solo competenze tecniche, ma anche una visione strategica e multidisciplinare.
Durante il webinar del 25 settembre, dedicato al tema “Incident response e compliance tra NIS 2 e GDPR”, abbiamo illustrato come un approccio unitario alla gestione degli incidenti informatici, tra GDPR e NIS 2, possa trasformare gli obblighi normativi in autentiche opportunità di crescita e vantaggio competitivo.
Vuoi scoprire come strutturare il percorso di adeguamento alla NIS?
