ruoli diversi, obiettivi convergenti
Con l’entrata in vigore del D.Lgs. 138/2024, che recepisce la Direttiva (UE) 2022/2555 (NIS2), molti professionisti della privacy si chiedono se la loro competenza possa estendersi anche all’ambito della sicurezza informatica disciplinata da tale normativa.
Con questo breve contributo vorrei fare un po’ di chiarezza.
Il Responsabile della protezione dei dati (Data Protection Officer – DPO), previsto dall’art. 37 del Regolamento (UE) 2016/679 (GDPR), ha il compito di garantire la conformità dei trattamenti di dati personali alla normativa in materia di protezione dei dati.
Il Responsabile per la sicurezza delle reti e dei sistemi informativi, comunemente identificato come Chief Information Security Officer (CISO) o figura equivalente, è invece chiamato a curare l’adeguamento alla Direttiva NIS2, che disciplina la sicurezza cibernetica e la resilienza dei servizi essenziali.
Entrambe le normative perseguono finalità di sicurezza e affidabilità, ma si collocano in ambiti distinti e complementari.
Il GDPR tutela i diritti e le libertà fondamentali delle persone fisiche, con riferimento alla protezione dei dati personali.
La NIS2, invece, mira a conseguire un elevato livello di sicurezza delle reti e dei sistemi informativi, imponendo obblighi specifici per enti pubblici, operatori di servizi essenziali e soggetti di rilevanza strategica. La sua finalità principale è garantire la resilienza operativa, oltre che la riservatezza delle informazioni.
Le due figure di riferimento — DPO e Responsabile NIS2 — operano con preparazioni verticali differenti:
- il DPO ha un profilo giuridico–organizzativo (anche se una formazione informatica aiuta), focalizzato sulla sicurezza dei dati personali e sull’applicazione dei principi del GDPR;
- il CISO ha un profilo tecnico–operativo, orientato alla sicurezza dei sistemi, alla gestione del rischio informatico e alla continuità del servizio.
Un punto d’incontro tra i due ambiti può essere rappresentato dalla norma ISO/IEC 27001:2022, che fornisce un linguaggio comune e una metodologia condivisa per la gestione della sicurezza delle informazioni.
È quindi necessario un coordinamento tra le due figure: l’attuazione delle misure richieste dalla NIS2 può avere effetti positivi anche sulla protezione dei dati personali, mentre l’esperienza del DPO in materia di accountability, governance e valutazione del rischio può essere di supporto prezioso per il CISO.
La differenza di approccio emerge chiaramente:
- la NIS2 guarda alla resilienza dei servizi e delle infrastrutture digitali, come la protezione delle comunicazioni tra macchinari connessi o veicoli industriali;
- il GDPR si concentra invece sulla protezione dei dati personali che tali sistemi possono raccogliere, nella misura in cui siano riconducibili a una persona fisica (il “dato dell’interessato”).
Vorrei concludere questo articolo con una risposta precisa rispetto alla possibilità di ricoprire i due ruoli.
A mio avviso i due ruoli non possono essere affidati alla stessa persona per i seguenti motivi:
- le competenze verticali sono differenti;
- il DPO si troverebbe ad avere un conflitto d’interessi se ricoprisse anche il ruolo di CISO.