In un contesto in cui ogni processo è digitalizzato e ogni informazione può costituire un potenziale punto di vulnerabilità, le organizzazioni non possono più permettersi approcci frammentati.
Il tempo dei silos funzionali è ormai superato. La sicurezza richiede oggi una visione d’insieme, che integri conformità normativa e soluzioni tecnologiche, strategia di governance e operatività quotidiana.
Protagoniste di questa evoluzione sono due figure centrali: il DPO (Data Protection Officer) e il CISO (Chief Information Security Officer). Due prospettive distinte, ma naturalmente destinate a integrarsi.
Il DPO apporta la competenza giuridica in materia di protezione dei dati personali. Il CISO, quella tecnica legata alla sicurezza informatica.
È dall’incontro tra queste due competenze che si genera la vera resilienza organizzativa.
Indice degli argomenti
Il ruolo del CISO: sicurezza come presidio strategico
Il Chief Information Security Officer (CISO) è una figura non espressamente prevista dal GDPR o dalla NIS 2 come obbligatoria. Tuttavia nelle organizzazioni complesse la sua presenza è considerata una best practice.
Il CISO ha il compito di:
- definire e implementare la strategia di sicurezza delle informazioni;
- definire e implementare la strategia di sicurezza delle informazioni;
- coordinare audit e controlli interni di sicurezza;
- garantire la compliance ai requisiti tecnici della NIS 2.
Il Chief Information Security Officer opera in stretta interazione con l’area dell’Ict, ma non ne fa parte né da un punto di vista gerarchico né funzionale.
Questa distinzione non è solo formale: rappresenta una condizione essenziale per garantire l’indipendenza operativa e l’autonomia di giudizio che il ruolo richiede.
Un Ciso collocato all’interno della struttura ICT, infatti, si troverebbe potenzialmente in conflitto d’interesse, sorvegliando attività e decisioni che lui stesso dovrebbe contribuire a definire o attuare.
L’autonomia non si traduce in isolamento
L’autonomia non può e non deve tradursi in isolamento. Al contrario, il CISO ha bisogno di un flusso costante, strutturato e qualificato di informazioni provenienti dall’ICT e dalle altre funzioni aziendali per esercitare efficacemente il proprio ruolo di supervisione della sicurezza.
Attraverso questo scambio dinamico, può valutare i rischi, proporre contromisure adeguate, verificare la tenuta delle difese e contribuire a costruire un ecosistema digitale resiliente.
Cultura del controllo e della prevenzione
Sebbene la Direttiva NIS 2 – oggi al centro dell’attenzione normativa per il suo impatto trasversale su settori critici e servizi essenziali – non imponga espressamente la nomina di un Ciso, è evidente che la presenza di una figura formalizzata e dotata di competenze specifiche in ambito cyber security costituisca un valore aggiunto irrinunciabile.
Il CISO, infatti, non si limita a implementare misure tecniche: introduce una vera e propria cultura del controllo, della prevenzione e del miglioramento continuo.
In particolare, il CISO consente l’attivazione di processi sistematici di verifica e sorveglianza che sarebbero difficilmente sostenibili se affidati unicamente ad audit periodici, spesso limitati nella frequenza e nell’ampiezza di analisi.
Una figura interna, invece, garantisce un presidio costante, una reattività immediata in caso di anomalie e una capacità di raccordo trasversale tra le diverse linee di difesa.
Un facilitatore di resilienza
In sintesi, il CISO, che può essere un dipendente dell’organizzazione o un soggetto esterno contrattualizzato, è oggi un tassello fondamentale dell’architettura organizzativa di sicurezza: autonomo ma interconnesso, di visione ma concreto, esterno alle gerarchie funzionali, ma interno al perimetro decisionale.
In sintesi: un facilitatore di resilienza, più che un semplice controllore tecnico.
Il ruolo del DPO: presidio della protezione dati
Il Data protection officer è, invece, una figura giuridicamente prevista e disciplinata dagli articoli 37-39 del GDPR.
La sua designazione è obbligatoria in determinati casi, ma può essere anche volontaria.
I compiti del DPO includono:
- informare e consigliare il titolare, il responsabile e gli autorizzati al trattamento;
- sorvegliare l’osservanza del GDPR e delle politiche interne del titolare;
- cooperare con l’Autorità di controllo;
- fungere da punto di contatto per gli interessati.
Il DPO deve mantenere autonomia, accesso diretto al vertice e indipendenza. Il suo sguardo è rivolto sia alla compliance normativa, sia all’analisi preventiva dei rischi attraverso strumenti come il parere obbligatorio sulla DPIA.
Anche in questo caso il ruolo può essere coperto da un dipendente dell’organizzazione o da un soggetto esterno contrattualizzato attraverso un contratto di servizio.
DPO e CISO: convergenze operative e sinergie strategiche
Pur svolgendo funzioni distinte – e con una disciplina normativa che riguarda esclusivamente il DPO – il Ciso e il Data protection officer operano in ambiti contigui, spesso sovrapposti, e affrontano sfide comuni nel campo della sicurezza e della protezione delle informazioni.
Questa prossimità funzionale genera, inevitabilmente, aree di contatto che non devono essere interpretate come zone di sovrapposizione problematica, bensì come opportunità di integrazione.
Il dialogo tra le due figure non è un’opzione facoltativa ma piuttosto una condizione necessaria per garantire coerenza, efficienza e completezza nella gestione del rischio informativo e della conformità normativa.
Una comunicazione regolare e strutturata, attraverso flussi condivisi, tra DPO e CISO consente infatti di:
- evitare duplicazioni di attività o controlli che, se non coordinati, potrebbero comportare inefficienze o addirittura esiti disallineati;
- armonizzare le valutazioni di rischio, che pur essendo condotte con approcci diversi – tecnico per il Chief Information Security Officer, normativo per il DPO – devono convergere su una visione integrata del perimetro di vulnerabilità;
- aumentare la profondità delle analisi: la stessa tematica, se osservata attraverso le rispettive lenti di sicurezza e privacy, può rivelare criticità nascoste o soluzioni più robuste;
- favorire un approccio multidisciplinare, essenziale in un’epoca in cui i confini tra sicurezza informatica e protezione dei dati personali sono sempre più sfumati.
In definitiva, le interazioni tra Dpo e Ciso non si limitano a uno scambio di informazioni, ma costituiscono un vero e proprio ponte operativo tra due culture – quella della conformità giuridica e quella della resilienza tecnologica – che, quando dialogano, rafforzano in modo esponenziale la postura di sicurezza complessiva dell’organizzazione.
Tre scenari emblematici di collaborazione
Per comprendere appieno l’importanza di una collaborazione strutturata tra CISO e DPO, è utile analizzare alcuni scenari operativi in cui l’interazione tra le due figure diventa non solo opportuna, ma strategicamente necessaria a tutto vantaggio per l’organizzazione.
Incidenti di sicurezza che non coinvolgono dati personali: una falsa tranquillità
A prima vista, un incidente informatico che non compromette dati personali potrebbe sembrare di esclusiva competenza del CISO.
Tuttavia, questa visione è limitata e potenzialmente rischiosa. Ogni incidente, anche se circoscritto ad asset non “data-related”, evidenzia una falla nei sistemi di sicurezza.
Tale vulnerabilità, se trascurata, potrebbe essere sfruttata in futuro per attacchi ben più gravi che coinvolgano o potrebbero coinvolgere anche informazioni personali.
Il DPO, quindi, ha un interesse diretto a conoscere:
- l’evento;
- le sue cause;
- le modalità di rilevazione e soprattutto le misure correttive adottate.
Lo scambio tempestivo e strutturato di informazioni in questi casi consente al Data protection officer di valutare l’impatto potenziale sull’integrità dei trattamenti e di aggiornare, se necessario, l’analisi dei rischi.
Adozione di nuove misure tecniche: impatto sulla valutazione dei rischi
L’introduzione di soluzioni tecnologiche finalizzate a rafforzare la sicurezza perimetrale – come firewall evoluti, sistemi di intrusion detection o segmentazione avanzata della rete – rientra nella sfera d’azione del Chief Information Security Officer.
Tuttavia, tali interventi incidono anche sul livello complessivo di protezione dei dati personali trattati dall’organizzazione.
Per questo motivo, il DPO dovrebbe essere informato dell’adozione di nuove misure tecniche, poiché esse possono comportare la necessità di aggiornare l’analisi dei rischi, modificare l’impostazione di una DPIA già effettuata o valutare se la misura influisce sulla proporzionalità e adeguatezza delle tutele implementate.
Esternalizzazione e cloud: un fronte condiviso con punti di attenzione diversi
Quando l’organizzazione decide di esternalizzare processi critici – come per esempio il passaggio a un fornitore cloud o il cambio di provider – si aprono valutazioni convergenti ma con prospettive differenti per DPO e CISO.
Il Ciso si concentrerà su:
- robustezza della catena di fornitura;
- continuità operativa;
- gestione degli accessi;
- misure tecniche adottate dal fornitore.
Il DPO, invece, oltre a questi aspetti, dovrà verificare la conformità normativa rispondendo alle seguenti domande:
- dove vengono trattati i dati?
- sono garantite misure adeguate in caso di trasferimenti extra-UE?
- sono state sottoscritte clausole contrattuali conformi all’art. 28 GDPR?
Il rischio di una visione parziale – da parte di uno solo dei due – può compromettere la sicurezza o la legittimità del trattamento. Solo un’azione concertata assicura la compliance globale.
Applicazione della Direttiva NIS 2: un cambio di paradigma anche per il DPO
La Direttiva NIS 2, pur non essendo focalizzata sui dati personali, ha un impatto profondo sull’intera infrastruttura di sicurezza delle organizzazioni che rientrano nel suo campo di applicazione.
Per il DPO, è essenziale sapere se l’ente o l’azienda è soggetta alla NIS 2. Ciò implica l’obbligo di adottare misure di cyber security avanzate, controlli continui, formazione del personale e una governance rafforzata della sicurezza.
Questi sono tutti elementi che, se ben implementati, migliorano indirettamente anche la protezione dei dati personali e possono elevare lo standard di accountability richiesto dal GDPR.
Nel settore sanitario, per esempio, questa sovrapposizione è particolarmente evidente: i dati critici da proteggere secondo la NIS 2 coincidono spesso con categorie particolari di dati personali, che richiedono tutele rafforzate ai sensi dell’art. 9 del GDPR.
Dalla convivenza all’integrazione
Il DPO e il CISO rappresentano due culture diverse: una giuridico-regolamentare, l’altra tecnico-strategica.
Ma oggi, più che mai, la protezione dell’informazione documentata – sia come dato che come infrastruttura – richiede una governance condivisa.
Lavorare in sinergia non significa fondere i ruoli, ma valorizzare le differenze per creare una visione comune del rischio e della sicurezza.
Una visione che abbracci l’intero ciclo di vita dei dati e dei sistemi. Una visione che rafforzi la fiducia, l’efficienza e la capacità di risposta dell’organizzazione.
Nel prossimo articolo esploreremo gli strumenti operativi di questa alleanza: scambi informativi tracciabili, comfort tecnico, formazione congiunta.
La collaborazione non deve essere episodica, ma permanente. E si può organizzare.
