In molte aziende italiane, il DPO (Data Protection Officer) e il CISO (Chief Information Security Officer) operano in silos separati. Il DPO si occupa di privacy, il CISO di sicurezza informatica — quando c'e un CISO, perche in molte PMI il ruolo nemmeno esiste. Con la NIS2, questa separazione non e piu sostenibile.
In Italia il D.Lgs. 138/2024 e le determinazioni dell'ACN aggiungono una terza figura: il punto di contatto NIS2, che interloquisce con l'Agenzia e opera sulla piattaforma NIS. Chi può ricoprire questo ruolo? E come si relaziona con DPO e CISO? Le risposte non sono scontate, e su un punto la regola è più rigida di quanto molti pensino.
Il DPO: ruolo e competenze
Il DPO è la figura introdotta dal GDPR per vigilare sulla protezione dei dati personali. È obbligatorio per autorità ed enti pubblici e per chi, come attività principale, effettua un monitoraggio regolare e sistematico degli interessati su larga scala oppure tratta su larga scala categorie particolari di dati o dati giudiziari (art. 37 GDPR). Può essere un dipendente o un professionista esterno con contratto di servizi. Le sue competenze sono soprattutto giuridiche, con una conoscenza delle tecnologie sufficiente a comprendere i rischi, non a gestirli tecnicamente.
Il CISO: ruolo e competenze
Il CISO è il responsabile della sicurezza delle informazioni. A differenza del DPO, nessuna legge ne impone la nomina, e nemmeno la NIS2 lo fa. Ha competenze soprattutto tecniche e di governance: infrastrutture di sicurezza, incident response, vulnerability management, security architecture. Nelle PMI italiane le sue funzioni sono spesso svolte dal responsabile IT.
Cosa chiede davvero l'ACN: la misura GV.RR-02
Se il CISO non è obbligatorio, la funzione che di solito svolge lo è. Le misure di sicurezza di base fissate dall'ACN per i soggetti importanti ed essenziali contengono la misura GV.RR-02, che in quattro punti chiede di (Allegato 1, Determinazione ACN 164179/2025):
- definire l'organizzazione per la sicurezza informatica, farla approvare dagli organi di amministrazione e direttivi e renderla nota alle articolazioni competenti, stabilendone ruoli e responsabilità;
- mantenere un elenco aggiornato del personale di quell'organizzazione che ha ruoli e responsabilità specifici;
- includere nell'organizzazione il punto di contatto e almeno un suo sostituto;
- riesaminare ruoli e responsabilità almeno ogni due anni, e comunque dopo incidenti significativi, variazioni organizzative o cambi nell'esposizione alle minacce.
In pratica serve qualcuno che guidi questa organizzazione e ne risponda al vertice. Chiamarlo CISO, responsabile della sicurezza informatica o affidare il ruolo a un vCISO esterno è una scelta organizzativa: conta che i ruoli siano scritti, approvati e aggiornati.
Il punto di contatto NIS2
Il punto di contatto si registra sulla piattaforma NIS dell'ACN ed è il referente per le comunicazioni con l'Agenzia. Qui la scelta non è libera: può essere solo il rappresentante legale, un procuratore generale iscritto al registro delle imprese o un dipendente delegato, e il ruolo non può essere esternalizzato (art. 4, comma 2, Determinazione ACN 379887/2025). Riferisce direttamente al vertice e agli organi di amministrazione e direttivi. Ne consegue che un CISO o un DPO interni possono essere nominati punto di contatto; un DPO o un consulente esterni no. Requisiti e sostituto sono spiegati nella guida al punto di contatto NIS2.
| Aspetto | DPO | CISO | Punto contatto NIS2 |
|---|---|---|---|
| Base normativa | GDPR, art. 37 (obbligatorio nei casi previsti) | Nessun obbligo di nomina; l'organizzazione per la sicurezza è obbligatoria (GV.RR-02) | D.Lgs. 138/2024 e Det. ACN 379887/2025 (obbligatorio) |
| Focus | Dati personali | Sicurezza informatica | Interlocuzione con l'ACN e piattaforma NIS |
| Chi può ricoprirlo | Dipendente o professionista esterno | Interno o affidato all'esterno (vCISO) | Solo legale rappresentante, procuratore generale o dipendente delegato |
| Competenze | Giuridiche + tecnologiche di base | Tecniche + governance | Miste |
| Posizione | Indipendente (art. 38 GDPR) | Definita dall'organizzazione approvata dal vertice | Riferisce direttamente al vertice e agli organi direttivi |
| Autorità di riferimento | Garante Privacy | ACN (indiretto) | ACN (diretto) |
Modelli organizzativi
Nelle grandi organizzazioni, DPO, CISO e punto di contatto NIS2 sono generalmente tre persone diverse che collaborano. Nelle PMI, spesso due o tutti e tre i ruoli convergono sulla stessa persona. Entrambi i modelli possono funzionare, a condizione che le competenze necessarie siano coperte e che la collaborazione sia formalizzata.
Un modello che funziona bene per le medie imprese: un CISO interno, delegato come punto di contatto (ha le competenze tecniche per interagire con l'ACN), il DPO per la compliance privacy, e una procedura scritta di coordinamento tra i due per gli incidenti che coinvolgono dati personali. Se il CISO è un consulente esterno, il punto di contatto deve restare una figura interna.
La responsabilita degli organi direttivi
Un punto fondamentale della NIS2: la responsabilità ultima non è del DPO, del CISO o del punto di contatto, ma degli organi di amministrazione e direttivi. L'art. 23 del D.Lgs. 138/2024 chiede loro di approvare le modalità di attuazione delle misure di sicurezza, sovrintendere alla loro applicazione e seguire una formazione in materia di sicurezza informatica. DPO e CISO sono esecutori e consulenti, non decisori: una novità culturale per molte aziende italiane in cui il CdA delega completamente la sicurezza.