Implicazioni organizzative della Direttiva NIS2: il supporto degli standard internazionali e il ruolo strategico del CISO nell’attuazione della normativa

La Direttiva (UE) 2022/2555 (NIS2) rappresenta il nuovo quadro normativo europeo volto a rafforzare la resilienza cibernetica dell’Unione e a garantire un livello comune elevato di sicurezza delle reti e dei sistemi informativi. Essa estende il perimetro dei soggetti obbligati a implementare misure di cybersicurezza, introduce obblighi di governance e reporting stringenti e attribuisce responsabilità dirette agli organi di gestione, determinando un profondo impatto sulla struttura interna delle imprese. Dal punto di vista organizzativo, la NIS2 richiede notevoli investimenti per attuare una revisione dei modelli di governo della sicurezza, orientando le aziende verso un approccio strutturato alla gestione del rischio, alla formazione del personale e alla definizione di ruoli e responsabilità chiare. La tesi analizza inoltre il contributo degli standard internazionali ISO/IEC 27001:2022 e NIST Cybersecurity Framework 2.0 come strumenti di supporto all’attuazione della Direttiva. Attraverso una mappatura tra l'articolo 21 della NIS2, i controlli ISO e gli obiettivi delle funzioni NIST, viene evidenziato un grado di complementarità molto elevato, seppur non totale. La parte empirica, basata su interviste a Chief Information Security Officer (CISO) di due distinte organizzazioni, esplora come tali figure interpretino la NIS2 nel contesto aziendale. I CISO emergono infatti come attori strategici nel tradurre i requisiti normativi in politiche, processi e indicatori di performance, fungendo da collegamento tra top management, funzioni operative e autorità di vigilanza. In conclusione, la ricerca dimostra che la piena attuazione della Direttiva NIS2 non si ferma all’adozione di standard tecnici, ma richiede un’evoluzione organizzativa profonda, basata sulla responsabilizzazione dei vertici, sulla governance integrata e basata sul rischio, sul dialogo con le autorità e sulla diffusione di una cultura di cybersicurezza condivisa.