Articolo Pubblicazioni

NIS2 e organi di amministrazione: responsabilità e formazione obbligatoria

di · Pubblicato il 14 novembre 2026

Abstract

Con il d.lgs. 138/2024 la sicurezza informatica diventa una responsabilità diretta degli organi di amministrazione. L’articolo spiega che cosa prevede l’art. 23, cioè l’approvazione delle misure, la vigilanza sulla loro attuazione e la formazione, quali sanzioni sono previste per gli enti e per le persone e come un consiglio di amministrazione può organizzarsi per esercitare questo ruolo in modo documentabile.

Vincenzo Calabrò | NIS2 e organi di amministrazione: responsabilità e formazione obbligatoria
 

Dalla delega alla responsabilità

Per molti anni la sicurezza informatica è stata delegata alla funzione IT, e il consiglio di amministrazione ne sentiva parlare solo dopo un incidente. La disciplina NIS cambia questa impostazione. L’art. 23 del d.lgs. 138/2024 attribuisce agli organi di amministrazione e direttivi dei soggetti essenziali e importanti compiti precisi e una responsabilità propria per le violazioni.

Che cosa devono fare

  • approvare le modalità di attuazione delle misure di gestione dei rischi per la sicurezza informatica adottate dal soggetto;
  • sovrintendere all’attuazione degli obblighi, cioè verificare che le misure approvate vengano applicate e funzionino;
  • rispondere delle violazioni degli obblighi in materia di gestione del rischio e di notifica;
  • seguire una formazione in materia di sicurezza informatica e promuovere una formazione analoga e periodica per i dipendenti;
  • essere informati sugli incidenti e sulle notifiche effettuate.
Nelle pubbliche amministrazioni gli stessi compiti ricadono sugli organi di vertice, e il decreto richiede di individuare un punto di contatto e un sostituto per i rapporti con l’ACN.

Le sanzioni

Per i soggetti essenziali la sanzione massima per la violazione degli obblighi di gestione del rischio e di notifica arriva a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore. Per gli importanti a 7 milioni o all’1,4%. Per i soggetti essenziali che non si adeguano nonostante le diffide il decreto prevede anche misure sulle persone, fino all’incapacità temporanea di svolgere funzioni dirigenziali per chi ha responsabilità di vertice. La responsabilità degli organi si aggiunge a quella dell’ente e si valuta sulla base di quello che hanno approvato, chiesto e verificato.

La formazione

La formazione degli amministratori deve dare competenze sufficienti per individuare i rischi e valutare le pratiche di gestione e il loro impatto sui servizi. Un buon percorso copre il quadro normativo, il modello di rischio dell’organizzazione, gli scenari di attacco più probabili per il settore, il processo di gestione degli incidenti con i tempi di notifica e il ruolo del consiglio durante una crisi. Conviene che sia periodico, che si concluda con una verifica e che sia documentato con presenze e materiali, perché in caso di ispezione sarà chiesto di dimostrarlo.

Come organizzarsi

  1. nominare un referente della sicurezza con accesso diretto al consiglio e stabilire la frequenza dei suoi rapporti;
  2. approvare formalmente politiche, misure e piano di adeguamento, con delibere che indichino che cosa è stato esaminato;
  3. chiedere indicatori periodici comprensibili, come stato delle misure di base, vulnerabilità critiche aperte, esito delle prove di ripristino e incidenti dell’ultimo periodo;
  4. partecipare almeno una volta l’anno a un’esercitazione su un incidente grave, per verificare decisioni, comunicazioni e tempi di notifica;
  5. registrare le decisioni e i motivi delle scelte, compresi i rischi accettati.
Un consiglio che approva e verifica in questo modo lascia una traccia che lo protegge e, soprattutto, prende decisioni migliori.

Che cosa portare in consiglio

Per esercitare la vigilanza il consiglio ha bisogno di un ciclo di informazione regolare. Una proposta pratica è una relazione trimestrale del referente della sicurezza con lo stato delle misure di base dell’ACN, i rischi principali e la loro evoluzione, gli incidenti significativi e le notifiche effettuate, gli esiti di audit e test, le decisioni richieste. Una volta l’anno il consiglio approva il piano di sicurezza e il budget, esamina la valutazione del rischio e verifica l’efficacia della formazione. Le delibere devono riportare che cosa è stato esaminato e deciso, perché in un’ispezione sono la prova della vigilanza.

Le domande che un amministratore dovrebbe fare

  • quali sono i servizi da cui dipendono i ricavi e quanto potrebbero restare fermi;
  • quali sono i tre rischi informatici principali e che cosa si sta facendo per ciascuno;
  • quando è stata provata l’ultima volta la capacità di ripristinare i sistemi critici e con quale risultato;
  • chi decide durante un incidente grave e se il consiglio sa come verrà coinvolto;
  • quali fornitori potrebbero fermare l’azienda e come vengono controllati;
  • se le risorse assegnate alla sicurezza sono adeguate al livello di rischio accettato.

Il rapporto con le altre norme

Per molte società la responsabilità degli amministratori in materia di sicurezza informatica non nasce con la NIS2. Il codice civile chiede di curare l’adeguatezza degli assetti organizzativi, il GDPR chiede misure adeguate per la protezione dei dati e il d.lgs. 231/2001 collega ai reati informatici la responsabilità dell’ente, con l’esigenza di un modello organizzativo efficace. La NIS2 rende esplicito ciò che queste norme già lasciavano intendere e aggiunge obblighi specifici di approvazione, vigilanza e formazione. Un sistema di governo unico, che tenga insieme questi obblighi, evita duplicazioni e lacune.
Nei gruppi societari gli obblighi ricadono sugli organi di ciascun soggetto incluso nell’elenco, anche quando la sicurezza è gestita a livello centrale dalla capogruppo. Conviene quindi che le delibere delle controllate richiamino in modo esplicito le politiche di gruppo adottate e che il referente di gruppo riferisca anche ai loro consigli, così che ciascun organo possa dimostrare di aver approvato e vigilato.
Anche gli amministratori indipendenti e i membri dei collegi sindacali hanno interesse a seguire la formazione, perché la vigilanza sugli assetti organizzativi comprende ormai la sicurezza informatica.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn