Il CISO come discarica organizzativa: un modello di governance al collasso

Più della metà dei responsabili sicurezza considera il proprio ruolo non più gestibile — e il problema non è loro, è del board

Un dato che il board non può ignorare

Il 52% dei CISO oggi dichiara che il proprio perimetro di responsabilità ha superato la soglia della gestibilità. Il dato emerge da un campione di 662 figure apicali della sicurezza e non racconta una crisi di competenze. Racconta un modello organizzativo che ha smesso di funzionare. Negli ultimi cinque anni le organizzazioni hanno continuato ad aggiungere strati al ruolo: governance dell'intelligenza artificiale, rischio di terze parti, privacy, continuità operativa, sicurezza fisica, conformità ESG. Ogni nuova pressione regolamentare o tecnologica è stata risolta con la stessa scorciatoia, assegnare la responsabilità al CISO. Senza ridisegnare l'organigramma, senza redistribuire il carico, senza proporzionare autorità e risorse. Brian Levine, ex procuratore federale oggi alla guida di FormerGov, lo definisce in termini netti: il ruolo è diventato una discarica organizzativa, non una posizione di leadership. Sanchit Vir Gogia, Chief Analyst di Greyhound Research, converge sulla stessa lettura. Non si tratta di trovare persone più capaci. Si tratta di ammettere che il contenitore è rotto.

Un single point of failure con il titolo di executive

Quando un unico ruolo è accountable per tutto, dall'identity management alla compliance AI, dal rischio supply chain alla risposta agli incidenti, l'organizzazione ha creato un single point of failure travestito da executive. Le conseguenze non sono teoriche. I programmi di trasformazione della sicurezza slittano trimestre dopo trimestre, non per incompetenza ma perché la giornata del CISO viene consumata da preparazione di audit, follow-up di conformità, briefing agli stakeholder e gestione delle escalation con i fornitori. Le security operations diventano reattive. La qualità cala. Le priorità strategiche si accumulano in un backlog che nessuno smaltisce. Il board che non interviene su questo squilibrio non sta ottimizzando i costi. Sta concentrando rischio su un singolo nodo organizzativo, e lo sta facendo in modo inconsapevole, il che è peggio che farlo per scelta.

Accountability senza autorità: la frizione che nessuno risolve

La contraddizione è strutturale. Il titolo del CISO sale nell'organigramma, la responsabilità formale cresce a ogni ciclo regolamentare, ma l'influenza reale, il budget e l'organico restano quelli di cinque anni fa. Il risultato è un ruolo che accumula responsabilità senza disporre di leve decisionali proporzionate. L'organizzazione scambia la delega per governance. Sposta il rischio verso il basso e lo chiama empowerment. Finché i consigli di amministrazione non ribilanciano l'equazione tra ciò che chiedono e ciò che concedono, i responsabili della sicurezza continueranno a operare in una condizione strutturalmente predisposta al fallimento. E il fallimento, quando arriva, non colpisce il CISO. Colpisce l'organizzazione. Colpisce la continuità del business, la fiducia degli investitori, la capacità di risposta regolatoria. Il mismatch tra accountability e authority non è un problema di risorse umane. È un rischio di governance che il board possiede, anche se preferisce non vederlo.

NIS2 e DORA: la responsabilità è già del board, per legge

Il quadro normativo europeo ha già preso posizione su questa asimmetria. L'articolo 20 della Direttiva NIS2 impone che gli organi di gestione approvino le misure di gestione del rischio cyber e rispondano direttamente in caso di inadempienza. Non il CISO. Il board. L'articolo 5 del Regolamento DORA assegna all'organo di gestione la responsabilità ultima del framework di gestione del rischio ICT nelle entità finanziarie. Un modello organizzativo in cui l'intero rischio cyber è concentrato su un singolo ruolo, senza governance condivisa e senza autorità proporzionata, è strutturalmente disallineato rispetto a entrambe le normative. Per le organizzazioni soggette a NIS2 o DORA, e in Italia il perimetro si sta ampliando rapidamente con il recepimento, il tema non è più una questione di design organizzativo. È un problema di conformità concreta. Continuare a delegare tutto al CISO senza ribilanciare il modello non solleva il board dalla responsabilità. La espone.

La domanda che il board non si pone

C'è un test semplice per misurare la maturità di governance di un'organizzazione su questo fronte. Se domani il vostro CISO lasciasse l'incarico, il consiglio di amministrazione saprebbe dire con precisione quali responsabilità ha perso, e chi dovrebbe raccoglierle? La risposta, nella maggior parte dei casi, è no. Non perché il board sia negligente, ma perché nessuno ha mai mappato con chiarezza il perimetro reale del ruolo. Nessuno ha mai chiesto se quel perimetro fosse sostenibile. E nessuno ha mai verificato se la struttura di governo del rischio dipendesse da una funzione o da una persona. La questione non è trovare un CISO sovrumano. È decidere se il governo del rischio sia un'architettura organizzativa o un atto di fede su un singolo individuo.

Un ruolo che cresce senza limiti e un'autorità che resta ferma non producono leadership. Producono fragilità sistemica, con il nome di qualcun altro sulla carta intestata.