In parole semplici. La sicurezza informatica entra nella gestione complessiva del rischio aziendale con un piano stabile, non con interventi isolati.
Descrizione ufficiale
Le attività e gli esiti della gestione del rischio di cybersecurity sono parte integrante dei processi di gestione del rischio dell'organizzazione.
Requisiti
I requisiti sono identici per soggetti importanti ed essenziali.
- p.1Nell'ambito dei processi di gestione del rischio del soggetto NIS e nel rispetto delle politiche di cui alla misura GV.PO-01, è definito, attuato, aggiornato e documentato un piano di gestione dei rischi per la sicurezza informatica per identificare, analizzare, valutare, trattare e monitorare i rischi.
Evidenze tipiche
- Piano di gestione dei rischi per la sicurezza informatica
Domande frequenti su GV.RM-03
Cosa chiede la misura GV.RM-03?
La sicurezza informatica entra nella gestione complessiva del rischio aziendale con un piano stabile, non con interventi isolati. Il testo ufficiale è: «Le attività e gli esiti della gestione del rischio di cybersecurity sono parte integrante dei processi di gestione del rischio dell'organizzazione.»
La misura GV.RM-03 vale per i soggetti importanti?
Sì: per i soggetti importanti prevede 1 requisito, per gli essenziali 1.
Quali evidenze servono per dimostrare GV.RM-03?
Tipicamente: Piano di gestione dei rischi per la sicurezza informatica. I documenti non vanno caricati sul portale ACN, ma devono essere pronti in caso di verifica.
GV.RM-03 richiede l'approvazione degli organi di amministrazione?
Non direttamente: nessun requisito di GV.RM-03 prevede un'approvazione specifica degli organi, che restano comunque responsabili dell'attuazione delle misure (art. 23).
La categoria GV.RM: Strategia di gestione del rischio
Le priorità, i vincoli, le dichiarazioni sulla tolleranza e la propensione al rischio, e le assunzioni dell'organizzazione sono stabilite, comunicate e utilizzate per supportare le decisioni sul rischio operativo.
Descrizione e requisiti riportano il testo degli Allegati 1 e 2 della Det. ACN 379907/2025. La spiegazione e le evidenze tipiche sono testi editoriali non ufficiali.