Risposta rapida
Con il D.Lgs. 138/2024, che recepisce la Direttiva (UE) 2022/2555 (NIS2), la responsabilità degli amministratori in materia di cybersecurity cessa di essere una questione puramente tecnica e diventa una questione di governance. Gli organi di amministrazione sono ora direttamente responsabili dell'adozione di misure di gestione del rischio informatico e della loro supervisione. In caso di inadempienza, i vertici aziendali rischiano sanzioni pecuniarie personali, in aggiunta a quelle a carico dell'ente, e possono essere chiamati a rispondere dei danni derivanti da un incidente informatico non gestito. La normativa impone un cambio di passo: la sicurezza informatica deve essere trattata al pari di qualsiasi altro rischio aziendale, con decisioni documentate e verificabili.
Perché questo tema è importante
La direttiva NIS2 non è un semplice aggiornamento della precedente normativa del 2016. Rappresenta un cambio di paradigma: amplia il campo di applicazione a migliaia di imprese italiane, includendo non solo i "soggetti essenziali" ma anche i "soggetti importanti", e introduce per la prima volta un esplicito obbligo di responsabilità aziendale a carico degli organi di amministrazione.
Per gli amministratori, il tema è critico per tre ragioni concrete. Primo, la responsabilità è personale: non è possibile delegare "all'IT" la conformità NIS2. Secondo, le sanzioni possono colpire direttamente il patrimonio dei vertici aziendali. Terzo, la normativa richiede un'azione documentata e verificabile: in caso di incidente o ispezione, l'organo amministrativo deve dimostrare di aver fatto tutto il possibile per prevenire il danno.
Il messaggio è chiaro: la cybersecurity non è più un costo da minimizzare, ma un requisito di diligenza professionale. Chi siede nei consigli di amministrazione deve capire la materia abbastanza da poter prendere decisioni informate e supervisionare l'implementazione delle misure.
Quadro normativo e fonti ufficiali
Il quadro di riferimento è composto da due livelli normativi.
La Direttiva (UE) 2022/2555 (NIS2), pubblicata sulla Gazzetta Ufficiale dell'Unione Europea il 27 dicembre 2022, stabilisce le misure per un livello comune elevato di cybersicurezza nell'Unione. Il considerando 83 e l'articolo 20 della direttiva introducono l'obbligo per gli organi di gestione di approvare le misure di gestione del rischio e di seguirne l'attuazione, prevedendo che la violazione di tali obblighi possa comportare responsabilità per le persone fisiche.
Il D.Lgs. 138/2024 (decreto NIS), in vigore dal 16 ottobre 2024, recepisce la direttiva nell'ordinamento italiano. L'ACN (Agenzia per la Cybersicurezza Nazionale) è l'Autorità competente NIS per l'Italia. Il decreto:
- amplia i settori e i destinatari, distinguendo tra soggetti essenziali e importanti;
- estende gli obblighi all'intera infrastruttura ICT;
- introduce misure di sicurezza adeguate e un sistema di notifica degli incidenti;
- rafforza i poteri di supervisione e vigilanza dell'ACN;
- prevede sanzioni amministrative pecuniarie che possono colpire sia l'ente sia le persone fisiche con funzioni di rappresentanza o amministrazione.
Le scadenze operative principali sono: la registrazione dei soggetti NIS (dal 1° gennaio al 28 febbraio di ogni anno), l'aggiornamento annuale delle informazioni (entro il 31 maggio), l'obbligo di notifica degli incidenti significativi (da gennaio 2026) e l'adozione delle misure di sicurezza (entro ottobre 2026).
Cosa significa per l'azienda
Per l'azienda, la NIS2 significa che la sicurezza informatica entra a pieno titolo nella gestione strategica. Non si tratta più di acquistare un firewall o un antivirus: il decreto NIS richiede un approccio multi-rischio che copra riservatezza, integrità e disponibilità dei sistemi, includendo anche la sicurezza della catena di approvvigionamento e la continuità del business.
Per l'organo amministrativo, questo si traduce in tre obblighi specifici:
- approvare le misure di gestione del rischio per la sicurezza informatica;
- supervisionare l'attuazione di tali misure;
- rispondere delle violazioni, con sanzioni personali in caso di inadempienza.
La responsabilità non si esaurisce con la delega a un responsabile IT o a un CISO. La normativa richiede che l'organo di amministrazione sia attivamente coinvolto, che riceva report periodici sullo stato della sicurezza e che le decisioni siano documentate. In pratica, la cybersecurity diventa un punto all'ordine del giorno dei consigli di amministrazione, con la stessa dignità delle questioni finanziarie o legali.
Cosa deve fare concretamente l'organizzazione
L'organizzazione deve muoversi su tre fronti paralleli.
1. Mappatura e registrazione. Il primo passo è verificare se l'azienda rientra nel perimetro NIS2, in base a settore e dimensioni. Se rientra, deve registrarsi presso l'ACN (la finestra è dal 1° gennaio al 28 febbraio di ogni anno) e aggiornare annualmente le informazioni entro il 31 maggio. La registrazione istituisce un canale diretto con l'Autorità e consente di ricevere supporto.
2. Adozione delle misure di sicurezza. Entro ottobre 2026, i soggetti NIS devono aver adottato le misure di gestione del rischio. Il decreto richiede un approccio proporzionato, ma le misure devono coprire almeno: politiche di analisi dei rischi, gestione degli incidenti, continuità operativa, sicurezza della catena di approvvigionamento, politiche di sicurezza nella acquisizione e sviluppo di reti e sistemi, crittografia, formazione del personale, controllo degli accessi e autenticazione.
3. Governance e documentazione. L'organo amministrativo deve approvare formalmente le misure, definire un processo di supervisione e documentare le decisioni. È consigliabile istituire un comitato di sicurezza o assegnare la responsabilità a un dirigente con report periodici al consiglio. La documentazione è essenziale: in caso di ispezione o incidente, dimostra la diligenza dell'organo.
Esempio pratico
Un'azienda manifatturiera media (circa 300 dipendenti) opera nel settore dei macchinari industriali, un settore incluso nell'allegato I del decreto NIS. Rientra quindi tra i soggetti importanti. Il consiglio di amministrazione, finora, aveva delegato la sicurezza informatica al responsabile IT, senza un coinvolgimento diretto.
Con l'entrata in vigore del D.Lgs. 138/2024, l'amministratore delegato convoca una riunione dedicata. Il primo passo è la verifica del perimetro: l'azienda rientra, quindi va registrata. Il consiglio approva un piano di adeguamento con scadenze: analisi dei rischi entro 6 mesi, implementazione delle misure tecniche entro 18 mesi, formazione del personale entro 12 mesi. Viene nominato un responsabile della conformità NIS2 che riporta al consiglio ogni trimestre.
Dopo un anno, un attacco ransomware colpisce un fornitore della catena di approvvigionamento. L'azienda ha già implementato misure di verifica dei fornitori e un piano di continuità operativa. L'incidente viene gestito senza interruzioni significative. In caso di ispezione ACN, il consiglio può dimostrare di aver approvato le misure, di averle supervisionate e di aver agito con diligenza. La responsabilità personale degli amministratori è scongiurata dalla documentazione prodotta.
Errori comuni da evitare
- Considerare la NIS2 un problema IT. La normativa riguarda la governance aziendale. Se il consiglio non è coinvolto, la conformità è a rischio.
- Non documentare le decisioni. Anche se le misure sono state adottate, senza verbali e delibere è difficile dimostrare la diligenza dell'organo amministrativo.
- Sottovalutare le scadenze. La registrazione ha una finestra annuale (gennaio-febbraio). Chi la manca, rischia di essere fuori legge senza possibilità di recupero immediato.
- Ignorare la catena di approvvigionamento. La NIS2 richiede misure sulla sicurezza dei fornitori. Un incidente in un fornitore può diventare un incidente aziendale.
- Delegare senza supervisione. Nominare un CISO o un responsabile IT non basta: l'organo deve ricevere report e verificare l'attuazione.
- Non formare il personale. Le misure tecniche senza formazione sono inefficaci. La normativa richiede esplicitamente la formazione del personale.
Come GAPOFF aiuta
GAPOFF supporta le imprese italiane nel percorso di adeguamento alla NIS2 con il modulo NIS2 Compliance, progettato per guidare l'organizzazione attraverso le fasi di registrazione, analisi dei rischi e implementazione delle misure. La piattaforma consente di centralizzare la documentazione necessaria per dimostrare la diligenza dell'organo amministrativo, di tracciare le scadenze normative e di gestire il processo di notifica degli incidenti.
Il modulo si integra con gli altri strumenti della piattaforma, come la gestione dei rischi e la formazione del personale, per coprire l'intero spettro degli obblighi NIS2. Per i consulenti e i DPO, GAPOFF offre un ambiente di lavoro collaborativo che facilita il dialogo con l'organo amministrativo e la produzione di report periodici.
La piattaforma è provabile gratuitamente per 14 giorni. È importante sottolineare che GAPOFF supporta il lavoro di adeguamento, ma non certifica la conformità: la responsabilità finale delle decisioni e delle misure resta sempre in capo all'organo amministrativo e ai professionisti che lo assistono.
Checklist operativa
- Verificare se l'azienda rientra nel perimetro NIS2 (settore e dimensioni)
- Identificare la classificazione: soggetto essenziale o importante
- Registrarsi presso l'ACN (finestra: 1° gennaio - 28 febbraio)
- Nominare un responsabile della conformità NIS2 con report al consiglio
- Approvare formalmente le misure di gestione del rischio in consiglio di amministrazione
- Condurre un'analisi dei rischi su riservatezza, integrità e disponibilità
- Implementare le misure tecniche e organizzative (entro ottobre 2026)
- Verificare la sicurezza della catena di approvvigionamento
- Pianificare la formazione del personale
- Predisporre un piano di continuità operativa e gestione incidenti
- Documentare tutte le decisioni e le verifiche periodiche
- Predisporre il processo di notifica degli incidenti significativi (da gennaio 2026)
- Aggiornare annualmente le informazioni entro il 31 maggio
FAQ
Gli amministratori rischiano sanzioni personali per la mancata conformità NIS2?
Sì. Il D.Lgs. 138/2024, in linea con la Direttiva (UE) 2022/2555, prevede che le violazioni degli obblighi di gestione del rischio possano comportare sanzioni amministrative pecuniarie a carico delle persone fisiche che rivestono funzioni di rappresentanza, amministrazione o direzione. L'importo delle sanzioni dipende dalla gravità della violazione e dalla classificazione del soggetto (essenziale o importante). Inoltre, in caso di danno derivante da un incidente informatico, gli amministratori possono essere chiamati a rispondere secondo le regole generali della responsabilità civile degli amministratori di società.
La responsabilità può essere delegata a un responsabile IT o a un CISO?
No. La normativa richiede che l'organo di amministrazione approvi le misure di gestione del rischio e ne supervisioni l'attuazione. La delega operativa a un CISO o a un responsabile IT è possibile e anzi consigliata, ma non esonera l'organo dalla responsabilità finale. In caso di violazione, la delega non costituisce una causa di esenzione: gli amministratori devono dimostrare di aver supervisionato adeguatamente l'attuazione delle misure e di aver ricevuto informazioni sufficienti per prendere decisioni informate.
Quali sono le scadenze principali che l'organo amministrativo deve monitorare?
Le scadenze critiche sono: la registrazione presso l'ACN, che si svolge dal 1° gennaio al 28 febbraio di ogni anno; l'aggiornamento annuale delle informazioni, entro il 31 maggio; l'obbligo di notifica degli incidenti significativi, che decorre da gennaio 2026; e l'adozione delle misure di sicurezza, che deve essere completata entro ottobre 2026. L'organo amministrativo dovrebbe inserire queste scadenze nel calendario di governance aziendale e verificarne lo stato di avanzamento nei consigli di amministrazione periodici.
Gestisci nis2 in GAPOFF: workflow guidati, registri, scadenzari, evidenze e report pronti per l'audit. Prova gratis 14 giorni, senza carta di credito.
FAQ
Gli amministratori rischiano sanzioni personali per la mancata conformità NIS2?
Sì. Il D.Lgs. 138/2024, in linea con la Direttiva (UE) 2022/2555, prevede che le violazioni degli obblighi di gestione del rischio possano comportare sanzioni amministrative pecuniarie a carico delle persone fisiche che rivestono funzioni di rappresentanza, amministrazione o direzione. L'importo delle sanzioni dipende dalla gravità della violazione e dalla classificazione del soggetto (essenziale o importante). Inoltre, in caso di danno derivante da un incidente informatico, gli amministratori possono essere chiamati a rispondere secondo le regole generali della responsabilità civile degli amministratori di società.
La responsabilità può essere delegata a un responsabile IT o a un CISO?
No. La normativa richiede che l'organo di amministrazione approvi le misure di gestione del rischio e ne supervisioni l'attuazione. La delega operativa a un CISO o a un responsabile IT è possibile e anzi consigliata, ma non esonera l'organo dalla responsabilità finale. In caso di violazione, la delega non costituisce una causa di esenzione: gli amministratori devono dimostrare di aver supervisionato adeguatamente l'attuazione delle misure e di aver ricevuto informazioni sufficienti per prendere decisioni informate.
Quali sono le scadenze principali che l'organo amministrativo deve monitorare?
Le scadenze critiche sono: la registrazione presso l'ACN, che si svolge dal 1° gennaio al 28 febbraio di ogni anno; l'aggiornamento annuale delle informazioni, entro il 31 maggio; l'obbligo di notifica degli incidenti significativi, che decorre da gennaio 2026; e l'adozione delle misure di sicurezza, che deve essere completata entro ottobre 2026. L'organo amministrativo dovrebbe inserire queste scadenze nel calendario di governance aziendale e verificarne lo stato di avanzamento nei consigli di amministrazione periodici.
Ultima revisione: 2026-08-23.