D.lgs. 4 settembre 2024, n. 138 · Capo IV
Articolo 23
Organi di amministrazione e direttivi
Sintesi Articolo 23
La responsabilità della sicurezza informatica è collocata al vertice: gli organi di amministrazione e direttivi dei soggetti essenziali e importanti approvano le modalità di attuazione delle misure di gestione del rischio e ne sovrintendono l'applicazione. In caso di violazione, la responsabilità ricade su di essi.
Gli stessi organi devono seguire una formazione in materia di sicurezza informatica e garantirne una analoga ai dipendenti, così da saper individuare i rischi e comprenderne l'impatto sull'organizzazione. Devono inoltre essere informati periodicamente — e, quando necessario, tempestivamente — degli incidenti e delle notifiche effettuate. Verbali, deleghe e flussi informativi verso il vertice diventano quindi evidenze di conformità a tutti gli effetti.
Sintesi editoriale a finalità informativa: non sostituisce il testo ufficiale.
Testo ufficiale
Fonte: Normattiva.
1. Gli organi di amministrazione e gli organi direttivi dei soggetti essenziali e dei soggetti importanti:
a) approvano le modalita' di implementazione delle misure di gestione dei rischi per la sicurezza informatica adottate da tali soggetti ai sensi dell'articolo 24;
b) sovrintendono all'implementazione degli obblighi di cui al presente capo e di cui all'articolo 7;
c) sono responsabili delle violazioni di cui al presente decreto.
2. Gli organi di amministrazione e gli organi direttivi dei soggetti essenziali e dei soggetti importanti:
a) sono tenuti a seguire una formazione in materia di sicurezza informatica;
b) promuovono l'offerta periodica di una formazione coerente a quella di cui alla lettera a) ai loro dipendenti, per favorire l'acquisizione di conoscenze e competenze sufficienti al fine di individuare i rischi e valutare le pratiche di gestione dei rischi per la sicurezza informatica e il loro impatto sulle attivita' del soggetto e sui servizi offerti.
3. Gli organi di amministrazione e gli organi direttivi dei soggetti essenziali e dei soggetti importanti sono informati su base periodica o, se opportuno, tempestivamente, degli incidenti e delle notifiche di cui agli articoli 25 e 26.