Governance sicurezza AEOS: Virtual CISO e requisiti normativi CDU

Ottenere la certificazione AEOS (Authorized Economic Operator – Security) richiede più di semplici misure tecniche: serve una governance strutturata della sicurezza, guidata da una figura competente e riconosciuta dalle autorità doganali. Molte aziende si trovano impreparate di fronte a questo requisito, non disponendo internamente delle competenze necessarie per coordinare analisi dei rischi, procedure operative e conformità normativa.

Il Codice Doganale dell’Unione (CDU) definisce con precisione chi deve occuparsi della sicurezza e quali responsabilità deve assumere. Comprendere questi obblighi e scegliere la soluzione organizzativa più adatta può fare la differenza tra un’autorizzazione ottenuta rapidamente e un processo lungo e complesso.

Chi deve occuparsi della sicurezza secondo il Codice Doganale

L’articolo 28, paragrafo 1, lettera h) del Regolamento di Esecuzione (RE) stabilisce che ogni richiedente l’autorizzazione AEOS deve designare una persona di contatto competente per le questioni legate alla sicurezza della supply chain. Questa figura funge da interfaccia ufficiale tra l’azienda e le autorità doganali.

È importante chiarire che questo ruolo riguarda esclusivamente la sicurezza doganale e informatica, non coincide con il responsabile della sicurezza sul lavoro previsto dal D.Lgs. 81/08, che opera in un ambito normativo completamente diverso.

La normativa consente flessibilità: il responsabile può essere un dipendente interno oppure un professionista esterno formalmente incaricato, purché dimostri piena conoscenza delle procedure aziendali e competenza tecnica adeguata.

Cosa richiede il Questionario di Autovalutazione (QAV)

La Sezione 6 del QAV, dedicata ai requisiti di sicurezza, chiede di documentare chi protegge i sistemi aziendali e come vengono coordinate le misure di difesa. Le autorità doganali verificano che questa figura sia in grado di:

• Condurre e aggiornare il Risk Assessment: preparare una valutazione documentata delle minacce specifiche alla supply chain e ai sistemi informatici.
• Definire e monitorare le procedure di sicurezza: gestire controlli sugli accessi fisici e logici, protezione dei dati e sicurezza delle aree sensibili.
• Gestire gli incidenti di sicurezza: coordinare indagini, comunicazioni e azioni correttive in caso di violazioni o intrusioni, seguendo procedure strutturate di monitoraggio e incident response.
• Verificare i partner commerciali: assicurare che fornitori e subappaltatori rispettino gli standard di sicurezza richiesti dall’AEOS.

Queste responsabilità richiedono competenze che vanno oltre la gestione IT ordinaria: servono conoscenze di Risk Assessment, compliance normativa e gestione della sicurezza secondo standard internazionali come la ISO/IEC 27001.

Il Virtual CISO come soluzione per la governance AEOS

Per molte aziende, assumere un Chief Information Security Officer a tempo pieno rappresenta un investimento sproporzionato rispetto alle dimensioni o alla complessità organizzativa. Il modello Virtual CISO offre un’alternativa strategica che risponde pienamente ai requisiti normativi:

• Competenza certificata: il Virtual CISO porta esperienza consolidata in Risk Management, compliance e gestione della sicurezza, soddisfacendo il requisito di competenza richiesto dalle Dogane.
• Coordinamento multi-sede: in presenza di più stabilimenti o uffici, garantisce coerenza nelle misure di sicurezza e semplifica il processo di audit doganale.
• Efficienza economica: fornisce governance di alto livello senza i costi di un dirigente interno, mantenendo il pieno controllo operativo in capo all’azienda.
• Flessibilità operativa: interviene con la frequenza necessaria, adattandosi alle esigenze specifiche del percorso di certificazione e del mantenimento dell’autorizzazione.

Il Virtual CISO può preparare tutta la documentazione richiesta dal QAV, coordinare l’implementazione delle misure di sicurezza e fungere da referente tecnico durante le visite ispettive delle autorità doganali. Inoltre, può supervisionare attività tecniche specialistiche come i test di penetrazione dell’infrastruttura di rete richiesti per dimostrare la resilienza dei sistemi critici.

Domande frequenti sulla governance della sicurezza AEOS

• È obbligatorio nominare un responsabile della sicurezza per ottenere l’AEOS?
• Sì. L’articolo 28, paragrafo 1, lettera h) del Regolamento di Esecuzione richiede espressamente la designazione di una persona di contatto competente per la sicurezza, che funga da interfaccia con l’amministrazione doganale.
• Il responsabile della sicurezza deve essere necessariamente un dipendente interno?
• No. La normativa consente che la funzione sia svolta da un soggetto esterno, purché sia formalmente incaricato e dimostri piena conoscenza delle procedure di sicurezza dell’impresa. Questa flessibilità rende possibile l’utilizzo di un Virtual CISO.
• Come può un Virtual CISO supportare concretamente i requisiti AEOS?
• Il Virtual CISO definisce il framework di sicurezza, coordina l’analisi dei rischi, prepara la documentazione necessaria per il Questionario di Autovalutazione (Sezione 6) e funge da referente tecnico durante le visite ispettive delle autorità doganali.
• Quali documenti deve produrre o supervisionare il responsabile della sicurezza?
• Il responsabile deve supervisionare la produzione del Risk Assessment documentato, dei piani di sicurezza per ogni sito, delle procedure di gestione degli accessi, dei registri degli incidenti e dei piani di formazione sulla sicurezza per il personale.
• Esternalizzare la sicurezza solleva l’azienda dalle responsabilità verso le Dogane?
• No. Anche affidando l’attività tecnica a un Virtual CISO o a consulenti esterni, l’operatore economico rimane sempre responsabile del rispetto dei criteri AEOS di fronte alle autorità doganali. L’esternalizzazione riguarda l’esecuzione, non la responsabilità finale.
• Quali competenze tecniche deve possedere il responsabile della sicurezza AEOS?
• Deve conoscere metodologie di Risk Assessment, gestione della sicurezza informatica e fisica, normative doganali e standard internazionali come ISO/IEC 27001. Deve inoltre saper coordinare fornitori esterni e gestire la comunicazione con le autorità.

La governance della sicurezza rappresenta un pilastro fondamentale per ottenere e mantenere la certificazione AEOS. Il modello Virtual CISO offre competenza specialistica e flessibilità operativa, ma la responsabilità finale del rispetto dei criteri rimane sempre in capo all’operatore economico che richiede l’autorizzazione.

Approfondimenti correlati

• Certificazione AEO e cybersecurity: requisiti e percorso di conformità
• Sicurezza dei sistemi e delle applicazioni per la certificazione AEOS
• Gestione delle vulnerabilità per la certificazione AEOS
• AEOS e sicurezza dei partner commerciali nella supply chain
• Formazione cybersecurity per operatori economici autorizzati