Chief information security officer (CISO): quando serve

Il chief information security officer (CISO) è il responsabile della sicurezza delle informazioni di un'azienda: traduce il rischio informatico in priorità, scrive le politiche, coordina chi le applica e riferisce al vertice. In Italia nessuna norma obbliga a nominare una figura con questo titolo, ma NIS2 e DORA chiedono che qualcuno svolga quel lavoro con un mandato approvato dal consiglio di amministrazione.

Qui trovi cosa fa un CISO, cosa dicono davvero le norme, i segnali che indicano che in azienda ne serve uno e come scegliere fra una figura interna e un CISO as a service.

Cosa fa un chief information security officer

Il CISO non è il tecnico più bravo del reparto IT. È la persona che risponde a una domanda di governo: quali rischi informatici corre l'azienda, quali accetta e cosa fa per gli altri. Nel lavoro di tutti i giorni questo si traduce in alcune responsabilità ricorrenti:

• Analisi e trattamento del rischio: tiene aggiornata la valutazione dei rischi e propone al vertice come trattarli, con costi e priorità.
• Politiche e procedure: scrive e mantiene le regole su accessi, fornitori, backup, vulnerabilità, risposta agli incidenti.
• Organizzazione: stabilisce chi fa cosa nella sicurezza, dentro e fuori l'azienda, compresi i fornitori che gestiscono parti dell'infrastruttura.
• Incidenti: non li gestisce da solo, ma decide come si gestiscono, chi viene avvisato e quando, e cosa si cambia dopo.
• Conformità: tiene insieme gli obblighi che arrivano da NIS2, DORA, GDPR, dai contratti con i clienti e dalle certificazioni.
• Riporto al vertice: porta al consiglio di amministrazione lo stato della sicurezza in una forma su cui si possa decidere.

CISO, responsabile IT, DPO e SOC: chi fa cosa

• CIO o responsabile IT: fa funzionare i sistemi e ne risponde in termini di disponibilità, costi e progetti. Il CISO valuta il rischio di quei sistemi. Quando le due figure coincidono, chi deve chiedere un investimento in sicurezza è lo stesso che deve far quadrare il budget IT.
• DPO: il responsabile della protezione dei dati previsto dal GDPR (articoli 37-39) sorveglia il trattamento dei dati personali. Il CISO copre tutte le informazioni e tutti i sistemi, non solo i dati personali.
• SOC: monitora gli eventi e risponde agli attacchi, 24 ore su 24. Il CISO decide cosa va sorvegliato e con quali regole, il SOC esegue.

La legge obbliga ad avere un CISO?

No, non con questo nome. Le norme che riguardano il mid-market italiano chiedono però la sostanza del ruolo, e la chiedono al vertice.

NIS2

Il D.Lgs. 138/2024, che recepisce la NIS2, all'articolo 23 assegna agli organi di amministrazione e direttivi tre compiti: approvano le modalità di attuazione delle misure di gestione dei rischi, sovrintendono agli obblighi del decreto e sono responsabili delle violazioni di cui al presente decreto. Lo stesso articolo li obbliga a seguire una formazione in materia di sicurezza informatica.

Le misure di sicurezza di base dell'ACN (Determinazione 379907/2025, allegato 1 per i soggetti importanti e allegato 2 per gli essenziali) traducono l'obbligo nella misura GV.RR-02, identica nei due allegati: È definita, approvata dagli organi di amministrazione e direttivi, e resa nota alle articolazioni competenti del soggetto NIS, l'organizzazione per la sicurezza informatica e ne sono stabiliti ruoli e responsabilità. La stessa misura chiede un elenco aggiornato del personale con ruoli specifici, include in quell'organizzazione il punto di contatto e il referente CSIRT, e ne prevede il riesame almeno ogni due anni. Chi sono queste due figure lo spieghiamo in referente CSIRT NIS2: chi è, chi lo nomina, entro quando.

La parola CISO, invece, la usa l'ACN nelle FAQ NIS (sezione Organi di amministrazione e direttivi, ODA.2): fra i componenti degli organi di amministrazione da elencare non sono attesi il punto di contatto, il CISO o il responsabile della sicurezza aziendale, salvo che siedano anche nel consiglio. Il motivo è che delle violazioni rispondono i componenti del consiglio. Un CISO si nomina per far funzionare l'organizzazione della sicurezza, non per spostare la responsabilità.

DORA

Per banche, assicurazioni e le altre entità finanziarie il Regolamento (UE) 2022/2554 è più esplicito. L'articolo 5 assegna all'organo di gestione la responsabilità finale per la gestione dei rischi informatici e gli chiede di definire ruoli e responsabilità per tutte le funzioni connesse alle TIC. L'articolo 6, paragrafo 4, chiede alle entità diverse dalle microimprese di attribuire la gestione e la sorveglianza dei rischi informatici a una funzione di controllo con un livello appropriato di indipendenza, e di tenere separate gestione del rischio informatico, controllo e audit interno. Il regolamento non usa la parola CISO: descrive la funzione e lascia all'entità decidere come chiamarla e dove collocarla. Il ruolo del consiglio è approfondito in DORA e responsabilità del CdA.

ISO/IEC 27001

Anche la norma non chiede un CISO. Chiede che l'alta direzione assegni e comunichi ruoli, responsabilità e autorità per la sicurezza delle informazioni (punto 5.3), e dedica a ruoli e responsabilità il controllo 5.2 dell'Annex A. Chi prepara una certificazione scopre presto che qualcuno deve tenere in mano il sistema di gestione tra un audit e l'altro.

Quando serve un CISO in azienda

La domanda utile non è se serve un CISO, ma se oggi qualcuno fa il suo lavoro con tempo e mandato sufficienti. Questi sono i segnali che dicono di no:

• Sei soggetto NIS2 e l'organizzazione per la sicurezza non è stata approvata dal consiglio. Per chi è entrato in elenco nel 2025 le misure di base vanno adottate entro 18 mesi dalla comunicazione di inserimento, cioè entro ottobre 2026 secondo il calendario pubblicato dall'ACN, e la GV.RR-02 è fra queste.
• Sei un'entità DORA e la funzione di controllo coincide con chi gestisce i sistemi. L'articolo 6, paragrafo 4, chiede proprio quella separazione.
• La sicurezza è una voce in più nel mansionario dell'IT manager. Regge finché un incidente, un audit e un cliente che chiede evidenze non arrivano nello stesso mese.
• I clienti mandano questionari di sicurezza. Chi rifornisce aziende NIS2 o DORA riceve gli obblighi per contratto, come spieghiamo in TPRM e rischio da terze parti, e qualcuno deve rispondere con evidenze coerenti.
• Stai preparando una certificazione ISO/IEC 27001 o un'attestazione SOC 2 e nessuno ha il tempo di guidare il progetto.
• Il consiglio chiede numeri e nessuno sa darli in una forma utile: quali rischi sono aperti, da quanto, cosa costa chiuderli.
• C'è stato un incidente e le decisioni si sono prese al telefono, senza un piano scritto.

Due o più di questi segnali insieme indicano che il ruolo serve. Non dicono ancora in che forma.

CISO interno o CISO as a service

Il CISO as a service (anche virtual CISO o vCISO) è un professionista o un gruppo esterno che svolge il ruolo di CISO per un numero di giorni concordato, con un mandato formale dell'azienda. Fa lo stesso lavoro di un CISO interno, a tempo parziale e senza un'assunzione.

Quando conviene un CISO interno

• la sicurezza richiede presenza quotidiana: molti sistemi, molti progetti, un gruppo di persone da guidare;
• il settore è vigilato da vicino e l'autorità si aspetta un interlocutore stabile;
• la conoscenza dei processi interni pesa più dell'esperienza maturata su molti contesti.

Il limite è il mercato del lavoro. Nel rapporto NIS Investments 2025 dell'ENISA, pubblicato l'8 dicembre 2025 su 1.080 organizzazioni dei settori ad alta criticità della NIS2 (per l'83% grandi imprese), la difficoltà di trovare candidati con le competenze richieste è la prima barriera alle assunzioni in cybersecurity, indicata dal 45% degli intervistati. Lo stesso rapporto osserva che la spesa si sposta verso tecnologia e servizi esternalizzati più che verso la crescita dei team interni.

Quando conviene un CISO as a service

• l'azienda ha bisogno del ruolo, ma non di quaranta ore a settimana;
• serve partire presto, per una scadenza NIS2 o un audit già fissato;
• il team IT c'è e funziona, manca chi governi il rischio e parli con il consiglio;
• serve esperienza su più normative e più contesti, che una sola assunzione difficilmente porta.

Il limite è la presenza. Un CISO esterno vede l'azienda a giornate, quindi il risultato dipende da chi gli fa da riferimento interno e da quanto è scritto bene il suo mandato. Esiste anche una via di mezzo: un referente interno che tiene relazioni e continuità, affiancato da un CISO as a service per metodo, politiche e riporto al consiglio, finché il ruolo non giustifica un'assunzione.

Cosa si può esternalizzare e cosa no

Le regole NIS2 lasciano spazio. Nelle FAQ NIS (RR.3) l'ACN chiarisce che le uniche figure che non si possono esternalizzare sono il punto di contatto e il suo sostituto. L'articolo 4, comma 2, della Determinazione ACN 127437/2026, oggi vigente, affida infatti il ruolo di punto di contatto al rappresentante legale, a un procuratore generale o a un dipendente delegato, che può comunque avvalersi di personale esterno. E la misura GV.SC-02 prevede espressamente che l'organizzazione per la sicurezza comprenda ruoli assegnati a personale di terze parti, da inserire nell'elenco della GV.RR-02.

Quello che non si esternalizza è la responsabilità. Resta agli organi di amministrazione (art. 23 del D.Lgs. 138/2024) e, per DORA, all'organo di gestione: l'articolo 6, paragrafo 10, consente di affidare all'esterno la verifica di conformità, ma l'entità finanziaria ne rimane pienamente responsabile.

Come scegliere un CISO as a service: cinque domande

1. Quante giornate, e in che forma? Presenza in sede, riunioni con il consiglio, disponibilità fra una giornata e l'altra: va scritto nel contratto.
2. Cosa succede durante un incidente? La pre-notifica NIS2 va fatta entro 24 ore da quando si viene a conoscenza di un incidente significativo (art. 25, comma 5, del D.Lgs. 138/2024). Un CISO raggiungibile solo nei giorni concordati non copre quella finestra.
3. Quali documenti consegna? Analisi del rischio, politiche negli ambiti elencati dalla misura ACN GV.PO-01, piano di trattamento, report periodico per il consiglio. Senza documenti concordati il servizio diventa consulenza a ore.
4. È indipendente da chi gestisce i sistemi? Se lo stesso fornitore fa il CISO e gestisce l'infrastruttura o il monitoraggio, valuta chi controlla il suo operato. Per le entità DORA l'indipendenza della funzione di controllo è un requisito dell'articolo 6, paragrafo 4; per tutti gli altri è una domanda da fare comunque.
5. Cosa resta all'azienda se il contratto finisce? Registro dei rischi, politiche, documentazione e accessi devono restare all'azienda, non al consulente.

CISO e SOC: governo e operatività

Un CISO, interno o esterno, decide cosa va sorvegliato, quando un incidente è grave e chi va avvisato. Non sta davanti alle console di notte. Fra gli ambiti per cui la misura GV.PO-01 chiede politiche documentate ci sono il monitoraggio degli eventi di sicurezza e la risposta agli incidenti: il CISO scrive quelle politiche, un SOC le esegue in continuo. Se il ruolo di governo c'è e manca la capacità operativa, il confronto fra le due strade è in SOC interno vs SOC gestito.

Da dove partire

Il primo passo non è un nome, è sapere cosa manca. Una gap analysis NIS2 sulle misure GV.RR e GV.PO mostra se l'organizzazione per la sicurezza esiste, se il consiglio l'ha approvata e quali politiche mancano. Da lì si capisce se serve una persona a tempo pieno, un servizio esterno o una combinazione dei due. Il quadro completo degli obblighi è nella guida completa alla NIS2.

In sintesi: il CISO è chi governa il rischio informatico e ne riferisce al vertice. NIS2, DORA e ISO/IEC 27001 non impongono il titolo, ma chiedono un'organizzazione per la sicurezza con ruoli definiti e approvati dal consiglio, che resta responsabile. Quando il ruolo serve ma non a tempo pieno, il CISO as a service è un'alternativa legittima, purché con mandato, documenti e reperibilità scritti.

Se nel tuo caso il governo della sicurezza è coperto e manca il presidio operativo, cioè monitoraggio, rilevamento e risposta agli incidenti 24/7, trovi come lavoriamo nella pagina dei servizi di cybersecurity.