La NIS2 ridefinisce la governance cyber aziendale
La NIS2 non introduce un nuovo reato, ma trasforma un deficit di governance cyber in un rischio legale personale per i membri del Consiglio di Amministrazione (CdA) e per gli amministratori. In Italia, l’art. 23 del D.Lgs. n. 138/2024 attribuisce agli organi di amministrazione e direttivi responsabilità precise: la mancata osservanza può comportare sanzioni amministrative rilevanti e, in casi specifici, responsabilità penali.
Il vero pericolo per il C‑Level non è soltanto l’entità della sanzione, ma la dimostrazione della governance del rischio cyber. A distanza di mesi da un incidente, il vertice deve provare di aver:
- identificato e valutato i rischi;
- adottato misure proporzionate;
- esercitato un’effettiva supervisione;
- agito con adeguata diligenza prima del verificarsi dell’incidente.
Chi è soggetto alla NIS2
La direttiva si applica ai soggetti “essenziali” e “importanti” dei settori indicati negli allegati (energia, trasporti, sanità, acqua, infrastrutture digitali, manifattura) e, in generale, alle imprese di media dimensione (≥ 50 dipendenti o ≥ 10 milioni € di fatturato). La distinzione tra le due categorie influisce sull’intensità della vigilanza dell’Agenzia per la Cybersicurezza Nazionale (ACN): tipicamente proattiva per gli “essenziali” e reattiva, ma con poteri istruttori, per gli “importanti”.
Scadenze chiave e obblighi operativi
Il 2026 segna il passaggio dalla fase preparatoria a quella di verifica:
- Obbligo di notifica al CSIRT Italia di incidenti significativi a partire dal 1° gennaio 2026 (pre‑notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese).
- Attuazione delle misure di sicurezza di base entro il 31 ottobre 2026.
- Inizio delle ispezioni ACN da novembre 2026.
- Determinazione ACN n. 164179/2025 (criteri di notifica) e n. 379907/2025 (specifiche di base, art. 24 del decreto).
Finora l’ACN ha privilegiato un approccio di accompagnamento, concentrandosi sulla costruzione del perimetro e sull’allineamento dei soggetti. Dall’autunno 2026, però, si aprirà una stagione di audit e possibili contestazioni, con richieste di evidenze concrete quali:
- registri degli incidenti;
- prove dell’esecuzione dei backup;
- verbali di formazione;
- contratti con clausole di sicurezza verso i fornitori.
Il ruolo del C‑Level nella governance
Con la NIS2 la cybersecurity non è più una delega totale al CISO, al CIO o a fornitori esterni: diventa materia di decisione e controllo dell’organo di governo. L’art. 20 della direttiva e l’art. 23 del D.Lgs. 138/2024 impongono agli organi direttivi di:
- porre domande corrette;
- allocare risorse adeguate;
- verificare le lacune;
- intervenire quando l’esposizione residua supera la propensione al rischio.
La semplice appartenenza al C‑Level non genera automaticamente responsabilità; conta l’effettivo esercizio del potere, le deleghe attribuite, il ruolo ricoperto e i flussi decisionali interni.
Piano in cinque fasi per il vertice aziendale
Per gestire il rischio cyber e documentare le decisioni, si consiglia un approccio strutturato in cinque fasi:
- Valutazione preliminare: mappare gli asset critici, identificare le minacce e valutare il livello di rischio in base ai criteri NIS2.
- Definizione di governance: istituire politiche chiare, deleghe formalizzate e comitati di sicurezza con responsabilità ben delineate.
- Allocazione delle risorse: garantire budget, personale qualificato e tecnologie adeguate per le misure di sicurezza di base e avanzate.
- Monitoraggio e prova: implementare sistemi di logging, audit trail e report periodici per dimostrare la conformità durante le ispezioni ACN.
- Revisione e miglioramento continuo: condurre test di penetrazione, simulazioni di incidenti e aggiornare le misure in base ai risultati.
Ogni fase deve generare documentazione verificabile (piani, verbali, registri) da esibire in caso di audit.
Sanzioni e responsabilità penali
Il sistema sanzionatorio è disciplinato dall’art. 38 del D.Lgs. 138/2024. Le sanzioni sono proporzionali alla gravità della violazione e variano in base alla categoria dell’organizzazione:
- Violazioni della governance della cybersecurity: fino a 10 milioni € o il 2 % del fatturato annuo, a seconda di quale sia superiore.
- Violazioni relative a misure di gestione del rischio: fino a 5 milioni € o l’1 % del fatturato.
- Violazioni di natura informativa (registrazione, comunicazione dati): massimali inferiori, intorno a 1 milione €.
Per le Pubbliche Amministrazioni il regime è specifico e non parametrato al fatturato. In caso di reiterazione, le sanzioni possono triplicare. Il procedimento può prevedere inviti a conformarsi, riduzioni di importo se l’organizzazione interviene tempestivamente e misure correttive.
Conseguenze reputazionali e personali
Oltre alle sanzioni pecuniarie, il mancato rispetto delle prescrizioni può comportare:
- richieste di informazioni e ispezioni da parte dell’ACN;
- imposizione di misure correttive obbligatorie;
- aggravamento della posizione dell’organizzazione in caso di inerzia o ostacolo alla vigilanza.
Per le persone fisiche, la sanzione accessoria più significativa è l’incapacità a svolgere funzioni dirigenziali. Tale misura temporanea può colpire amministratori, amministratore delegato o rappresentante legale, sia nei soggetti essenziali che in quelli importanti, finché non vengano adottate le misure necessarie per rimediare.
Strategie di difesa per il C‑Level
Per limitare l’esposizione, i vertici dovrebbero:
- mantenere una documentazione completa di tutte le decisioni e deleghe;
- assicurare audit interni regolari per verificare la conformità;
- predisporre piani di risposta agli incidenti testati periodicamente;
- coinvolgere consulenti legali specializzati in normativa NIS2;
- comunicare in modo trasparente con l’ACN e con gli stakeholder.
In sintesi, la NIS2 rende la cybersecurity una questione di governance aziendale, con responsabilità personali per il C‑Level. Un approccio strutturato, basato su evidenze verificabili e su un piano in cinque fasi, è fondamentale per proteggere l’organizzazione da sanzioni, rischi reputazionali e conseguenze penali.