Direttiva (UE) 2022/2555 · Capo IV
Articolo 20
Governance
Sintesi Articolo 20
L'articolo colloca la responsabilità della cibersicurezza in capo agli organi di gestione. Sono questi a dover approvare le misure di gestione del rischio adottate dal soggetto e a sovrintenderne l'attuazione, e sono questi a poter essere ritenuti responsabili in caso di violazione.
È inoltre previsto un obbligo formativo: i membri degli organi di gestione devono seguire una formazione che consenta loro di acquisire conoscenze e competenze sufficienti a individuare i rischi e valutare le pratiche di gestione, e i soggetti devono offrire formazione analoga ai dipendenti su base regolare.
La portata pratica è rilevante: la cibersicurezza esce dal perimetro tecnico e diventa materia di governance, con esigenza di verbalizzazioni, deleghe, flussi informativi verso il vertice e tracciabilità delle approvazioni.
Sintesi editoriale a finalità informativa: non sostituisce il testo ufficiale.
Testo ufficiale
Fonte: EUR-Lex.
1. Gli Stati membri provvedono affinché gli organi di gestione dei soggetti essenziali e importanti approvino le misure di gestione dei rischi di cibersicurezza adottate da tali soggetti per conformarsi all'articolo 21, sovraintendano alla sua attuazione e possano essere ritenuti responsabili di violazione da parte dei soggetti di tale articolo.
L'applicazione del presente paragrafo lascia impregiudicato il diritto nazionale per quanto riguarda le norme in materia di responsabilità applicabili alle istituzioni pubbliche, nonché la responsabilità dei dipendenti pubblici e dei funzionari eletti o nominati.
2. Gli Stati membri provvedono affinché i membri dell'organo di gestione dei soggetti essenziali e importanti siano tenuti a seguire una formazione e incoraggiano i soggetti essenziali e importanti a offrire periodicamente una formazione analoga ai loro dipendenti, per far sì che questi acquisiscano conoscenze e competenze sufficienti al fine di individuare i rischi e valutare le pratiche di gestione dei rischi di cibersicurezza e il loro impatto sui servizi offerti dal soggetto.