In parole semplici. Stabilire chi fa cosa: struttura, ruoli, punto di contatto, referente CSIRT, con approvazione del vertice.
Descrizione ufficiale
I ruoli, le responsabilità e i correlati poteri relativi alla gestione del rischio di cybersecurity sono stabiliti, comunicati, compresi e applicati.
Requisiti
I requisiti sono identici per soggetti importanti ed essenziali.
- p.1È definita, approvata dagli organi di amministrazione e direttivi, e resa nota alle articolazioni competenti del soggetto NIS, l'organizzazione per la sicurezza informatica e ne sono stabiliti ruoli e responsabilità.Da far approvare agli organi
- p.2È mantenuto un elenco aggiornato del personale dell'organizzazione di cui al punto 1 avente specifici ruoli e responsabilità ed è reso noto alle articolazioni competenti del soggetto NIS.
- p.3All’interno dell’organizzazione per la sicurezza informatica di cui al punto 1, sono inclusi il punto di contatto e il suo sostituto, il referente CSIRT e gli eventuali suoi sostituti, di cui alla determinazione adottata ai sensi dell’articolo 7, comma 6 del decreto NIS.
- p.4I ruoli e le responsabilità di cui al punto 1 sono riesaminati e, se opportuno, aggiornati periodicamente e comunque almeno ogni due anni, nonché qualora si verifichino incidenti significativi, variazioni organizzative o mutamenti dell’esposizione alle minacce e ai relativi rischi.
Evidenze tipiche
- Documento di organizzazione per la sicurezza
- Elenco del personale con ruoli specifici
Domande frequenti su GV.RR-02
Cosa chiede la misura GV.RR-02?
Stabilire chi fa cosa: struttura, ruoli, punto di contatto, referente CSIRT, con approvazione del vertice. Il testo ufficiale è: «I ruoli, le responsabilità e i correlati poteri relativi alla gestione del rischio di cybersecurity sono stabiliti, comunicati, compresi e applicati.»
La misura GV.RR-02 vale per i soggetti importanti?
Sì: per i soggetti importanti prevede 4 requisiti, per gli essenziali 4.
Quali evidenze servono per dimostrare GV.RR-02?
Tipicamente: Documento di organizzazione per la sicurezza; Elenco del personale con ruoli specifici. I documenti non vanno caricati sul portale ACN, ma devono essere pronti in caso di verifica.
GV.RR-02 richiede l'approvazione degli organi di amministrazione?
Sì: almeno uno dei requisiti richiede l'approvazione degli organi di amministrazione e direttivi (art. 23 del D.Lgs. 138/2024). Serve poter dimostrare data, oggetto e versione di quanto approvato.
La categoria GV.RR: Ruoli, responsabilità e correlati poteri
Sono stabiliti e comunicati i ruoli, le responsabilità e i correlati poteri in materia di cybersecurity per promuovere l'accountability, la valutazione delle prestazioni e il miglioramento continuo.
Altre misure della stessa categoria:
Descrizione e requisiti riportano il testo degli Allegati 1 e 2 della Det. ACN 379907/2025. La spiegazione e le evidenze tipiche sono testi editoriali non ufficiali.