In parole semplici. Regole scritte, approvate dal vertice, per 16 ambiti della sicurezza.
Descrizione ufficiale
La politica per la gestione del rischio di cybersecurity è stabilita in base al contesto organizzativo, alla strategia di cybersecurity e alle priorità, ed è comunicata e applicata.
Requisiti
I requisiti sono identici per soggetti importanti ed essenziali.
- p.1Sono adottate e documentate politiche di sicurezza informatica per almeno i seguenti ambiti: a) gestione del rischio; b) ruoli e responsabilità; c) affidabilità delle risorse umane; d) conformità e audit di sicurezza; e) gestione dei rischi per la sicurezza informatica della catena di approvvigionamento; f) gestione degli asset; g) gestione delle vulnerabilità; h) continuità operativa, ripristino in caso di disastro e gestione delle crisi informatiche; i) gestione dell'autenticazione, delle identità digitali e del controllo accessi; j) sicurezza fisica; k) formazione del personale e consapevolezza; l) sicurezza dei dati; m) sviluppo, configurazione, manutenzione e dismissione dei sistemi informativi e di rete; n) protezione delle reti e delle comunicazioni; o) monitoraggio degli eventi di sicurezza; p) risposta agli incidenti e ripristino.
- p.2Per gli ambiti di cui al punto 1 sono incluse almeno le politiche in relazione ai requisiti indicati nella tabella 1 in appendice al presente allegato.
- p.3Le politiche di cui al punto 1 sono approvate dagli organi di amministrazione e direttivi e rese note alle articolazioni competenti del soggetto NIS tenuto anche conto della necessità di conoscere (need to know).Da far approvare agli organi
Evidenze tipiche
- Politiche di sicurezza informatica (uno o più documenti)
- Prova della diffusione alle funzioni competenti
Domande frequenti su GV.PO-01
Cosa chiede la misura GV.PO-01?
Regole scritte, approvate dal vertice, per 16 ambiti della sicurezza. Il testo ufficiale è: «La politica per la gestione del rischio di cybersecurity è stabilita in base al contesto organizzativo, alla strategia di cybersecurity e alle priorità, ed è comunicata e applicata.»
La misura GV.PO-01 vale per i soggetti importanti?
Sì: per i soggetti importanti prevede 3 requisiti, per gli essenziali 3.
Quali evidenze servono per dimostrare GV.PO-01?
Tipicamente: Politiche di sicurezza informatica (uno o più documenti); Prova della diffusione alle funzioni competenti. I documenti non vanno caricati sul portale ACN, ma devono essere pronti in caso di verifica.
GV.PO-01 richiede l'approvazione degli organi di amministrazione?
Sì: almeno uno dei requisiti richiede l'approvazione degli organi di amministrazione e direttivi (art. 23 del D.Lgs. 138/2024). Serve poter dimostrare data, oggetto e versione di quanto approvato.
La categoria GV.PO: Politica
La politica di cybersecurity dell'organizzazione è stabilita, comunicata e applicata.
Altre misure della stessa categoria:
Descrizione e requisiti riportano il testo degli Allegati 1 e 2 della Det. ACN 379907/2025. La spiegazione e le evidenze tipiche sono testi editoriali non ufficiali.