Le integrazioni apportate dall'Agenzia per la Cybersicurezza Nazionale alle FAQ ODA.8 e ODA.9, insieme all’introduzione delle FAQ ODA.10, ODA.11 e ODA.12, intervengono su questioni che, nella prima fase di applicazione della disciplina del cd. Decreto NIS2 (D.Lgs. 138/2024), avevano dato luogo a letture differenti, soprattutto con riferimento al livello di dettaglio dei documenti sottoposti ad approvazione, alla possibilità di concentrare i contenuti richiesti in un unico corpus documentale e alla portata delle deleghe conferite a dirigenti, responsabili della sicurezza e altre funzioni interne.

Contesto normativo

L’art. 20 Dir. UE 2555/2022 assegna agli organi di gestione il compito di approvare le misure di gestione dei rischi di cybersicurezza e di vigilare sulla loro attuazione, secondo un’impostazione che riconduce la sicurezza dei sistemi informativi e di rete alla più ampia responsabilità di governo dell’organizzazione.

Il legislatore italiano ha recepito tale princ...