In breve. ACN è l'autorità nazionale e il CSIRT Italia riceve le notifiche. Dentro ogni organizzazione servono figure designate sul portale ACN: punto di contatto, sostituto, referente CSIRT.
Le istituzioni
| Soggetto | Ruolo |
|---|---|
| ACN | Autorità nazionale competente e Punto di contatto unico; regola, vigila, sanziona |
| CSIRT Italia | Riceve le notifiche, risponde agli incidenti, coordina la divulgazione delle vulnerabilità |
| Autorità di settore | Supportano ACN e coordinano i tavoli settoriali |
| Tavolo NIS | Sede permanente di confronto presieduta da ACN |
| Gruppo di cooperazione NIS | Coordina gli Stati membri |
| Rete dei CSIRT | Collega i CSIRT nazionali |
| EU-CyCLONe | Coordina la gestione delle crisi su vasta scala |
| ENISA | Agenzia europea per la cibersicurezza |
Le Autorità di settore sono: Presidenza del Consiglio; Ministeri di economia e finanze, imprese e made in Italy, agricoltura, ambiente e sicurezza energetica, infrastrutture e trasporti, università e ricerca, cultura, salute.
I ruoli nell'organizzazione
| Ruolo | Compito | Requisiti e note |
|---|---|---|
| Organi di amministrazione e direttivi | Approvano, sovrintendono, rispondono | Il CdA o l'organo equivalente. I dirigenti fuori dall'organo non vi rientrano |
| Punto di contatto | Cura l'attuazione e interloquisce con ACN | Di norma un dipendente delegato dal rappresentante legale. Non esternalizzabile |
| Sostituto punto di contatto | Supporta il punto di contatto, con le stesse azioni | Persona diversa. Non esternalizzabile |
| Referente CSIRT | Interloquisce con il CSIRT Italia ed effettua le notifiche | Competenze di base su sicurezza e incidenti e conoscenza approfondita dei sistemi. Può essere esterno |
| Sostituti del referente | Assicurano la copertura | Facoltativi, ma consigliati per la tempistica delle 24 ore |
| Segreteria | Supporto amministrativo sul portale | Facoltativa |
| Operatori | Assistono il punto di contatto | Facoltativi |
Il referente CSIRT va designato entro il 31 dicembre dell'anno di inserimento nell'elenco. In caso di indisponibilità, la notifica può essere effettuata anche dal punto di contatto o dal suo sostituto.
La delega non elimina la responsabilità
Gli organi possono delegare internamente le attività operative dell'art. 23, ma la responsabilità di legge resta loro (FAQ ACN ODA.8 e ODA.9). Vale anche per i fornitori: si può esternalizzare il servizio, non la responsabilità.
Gli accessi al portale
Il punto di contatto accede al Portale dei servizi ACN con SPID o CIE, si associa al soggetto indicando il codice fiscale o il codice IPA e carica il titolo che lo abilita, salvo che sia il rappresentante legale o un procuratore generale. La convalida passa dal domicilio digitale dell'organizzazione.
Approfondisci
Fonti
Orientamento informativo, non consulenza legale. Verifica sempre le fonti ufficiali ACN.