In parole semplici. Formazione pianificata per tutti, vertice compreso, con un registro di chi l'ha seguita.
Descrizione ufficiale
Il personale è sensibilizzato e formato in modo da possedere le conoscenze e le competenze per svolgere compiti di carattere generale tenendo conto dei rischi di cybersecurity.
Requisiti
I requisiti sono identici per soggetti importanti ed essenziali.
- p.1È definito, attuato, aggiornato e documentato un piano di formazione in materia di sicurezza informatica del personale, ivi inclusi gli organi di amministrazione e direttivi, che comprende almeno: a) la pianificazione delle attività di formazione previste con l’indicazione dei contenuti della formazione fornita; b) le eventuali modalità di verifica dell'acquisizione dei contenuti.
- p.2Il piano di formazione di cui al punto 1 è approvato dagli organi di amministrazione e direttivi.Da far approvare agli organi
- p.3È mantenuto un registro aggiornato recante l'elenco dei dipendenti che hanno ricevuto la formazione di cui al punto 1, i relativi contenuti e l'elenco delle verifiche svolte laddove previste.
Evidenze tipiche
- Piano di formazione approvato
- Registro della formazione
Domande frequenti su PR.AT-01
Cosa chiede la misura PR.AT-01?
Formazione pianificata per tutti, vertice compreso, con un registro di chi l'ha seguita. Il testo ufficiale è: «Il personale è sensibilizzato e formato in modo da possedere le conoscenze e le competenze per svolgere compiti di carattere generale tenendo conto dei rischi di cybersecurity.»
La misura PR.AT-01 vale per i soggetti importanti?
Sì: per i soggetti importanti prevede 3 requisiti, per gli essenziali 3.
Quali evidenze servono per dimostrare PR.AT-01?
Tipicamente: Piano di formazione approvato; Registro della formazione. I documenti non vanno caricati sul portale ACN, ma devono essere pronti in caso di verifica.
PR.AT-01 richiede l'approvazione degli organi di amministrazione?
Sì: almeno uno dei requisiti richiede l'approvazione degli organi di amministrazione e direttivi (art. 23 del D.Lgs. 138/2024). Serve poter dimostrare data, oggetto e versione di quanto approvato.
La categoria PR.AT: Consapevolezza e formazione
Il personale dell'organizzazione è sensibilizzato e formato sulla cybersecurity in modo da poter svolgere i propri compiti inerenti alla cybersecurity.
Altre misure della stessa categoria:
- PR.AT-02: Formazione dei ruoli specialistici (solo essenziali)
Descrizione e requisiti riportano il testo degli Allegati 1 e 2 della Det. ACN 379907/2025. La spiegazione e le evidenze tipiche sono testi editoriali non ufficiali.