NIS2 e organi di amministrazione: responsabilità e formazione

Con la NIS2 la sicurezza informatica entra nell'ordine del giorno del consiglio di amministrazione. Non è un modo di dire: l'articolo 23 del d.lgs. 138/2024 assegna agli organi di amministrazione compiti precisi e li rende responsabili delle violazioni.

Vale per i soggetti essenziali e per quelli importanti, e riguarda chi ha il potere di dirigere l'organizzazione: il consiglio di amministrazione o l'amministratore unico nelle società, gli organi di vertice negli enti. I dirigenti, invece, non sono di per sé componenti degli organi (FAQ ACN ODA.3).

Cosa chiede l'articolo 23

Gli organi di amministrazione e gli organi direttivi:

1. Approvano le modalità con cui l'azienda attua le misure di gestione dei rischi dell'articolo 24 (c. 1, lett. a).
2. Sovrintendono all'attuazione degli obblighi: misure di sicurezza, notifica degli incidenti, ma anche registrazione e aggiornamenti verso l'ACN (c. 1, lett. b).
3. Si formano: devono seguire una formazione in materia di sicurezza informatica e promuovere una formazione periodica coerente per i dipendenti (c. 2).
4. Sono informati degli incidenti e delle notifiche, periodicamente o, se serve, subito (c. 3).

E, soprattutto, «sono responsabili delle violazioni» del decreto (c. 1, lett. c). È la differenza più netta rispetto al passato: la sicurezza informatica non può più essere delegata in blocco all'ufficio IT o al fornitore.

Cosa va approvato, e da chi

Secondo le FAQ dell'ACN (ODA.10), l'organo di amministrazione deve approvare questi documenti, previsti dalle misure di sicurezza di base:

• l'organizzazione per la sicurezza informatica, con ruoli e responsabilità;
• le politiche di sicurezza;
• la valutazione del rischio e il piano di trattamento del rischio;
• il piano di gestione delle vulnerabilità;
• il piano di adeguamento;
• i piani di continuità operativa, di ripristino in caso di disastro e di gestione delle crisi;
• il piano di formazione;
• il piano di gestione degli incidenti.

Le attività operative si possono delegare; l'approvazione no. Resta all'organo nella sua collegialità (FAQ ODA.8-9): una delibera del consiglio o un atto dell'amministratore unico, non la firma di un singolo consigliere o di un comitato.

Due indicazioni dell'ACN alleggeriscono il lavoro. I documenti approvati possono restare a livello di indirizzo, mentre i dettagli tecnici stanno in procedure approvate dalle funzioni interne. E quando cambiano solo quelle procedure operative, non serve riportare tutto in consiglio. Nessun atto fissa una frequenza per le approvazioni: contano le cadenze di riesame dei singoli documenti, che trovate in i documenti da tenere aggiornati.

La formazione degli amministratori

È un obbligo personale dei componenti dell'organo (art. 23, c. 2, lett. a), compresi i consiglieri non esecutivi. La legge non dice quante ore, con quali contenuti né con quale ente. Ragionevolmente un percorso per amministratori tocca:

• i rischi informatici concreti per l'azienda e per i suoi servizi;
• gli obblighi NIS2 e le scadenze;
• cosa succede durante un incidente, chi decide e in quanto tempo si notifica;
• le responsabilità dell'organo e le domande da fare a chi gestisce la sicurezza.

La formazione dei consiglieri entra nel piano di formazione dell'azienda, che l'organo stesso approva, e va registrata: chi l'ha seguita, quando, con quali contenuti (misura PR.AT-01). Per i dipendenti la legge chiede una formazione periodica «coerente», cioè sugli stessi rischi, adattata ai ruoli: phishing, password, uso sicuro di posta e dispositivi per tutti, moduli specifici per chi lavora sui sistemi.

Essere informati, e farlo risultare

Il consiglio deve sapere cosa succede (art. 23, c. 3). In pratica servono:

• una relazione periodica scritta di chi segue la sicurezza: stato delle misure, scadenze, incidenti e quasi-incidenti, problemi con i fornitori;
• un canale per essere avvisati subito quando c'è un incidente significativo, perché le 24 ore corrono (vedi la notifica degli incidenti);
• verbali che riportino le decisioni prese e le risorse assegnate.

C'è anche un adempimento sulla piattaforma: nell'aggiornamento annuale l'azienda indica all'ACN i componenti dell'organo di amministrazione, con codice fiscale e PEC, e ciascuno deve accettare l'indicazione (art. 7, c. 4; det. 314287/2026).

Cosa rischia chi amministra

• L'azienda risponde delle violazioni dell'articolo 23 con le sanzioni più alte del decreto: fino a 10 milioni di euro o al 2% del fatturato per gli essenziali, fino a 7 milioni o all'1,4% per gli importanti (art. 38, c. 8-9). Vedi le sanzioni.
• Le persone: nei soggetti essenziali chi rappresenta o dirige l'azienda deve assicurare il rispetto del decreto e può esserne ritenuto responsabile (art. 38, c. 5).
• La sospensione: se l'azienda non rispetta una diffida dell'ACN, agli amministratori e al rappresentante legale, sia degli essenziali sia degli importanti, può essere applicata l'incapacità a svolgere funzioni dirigenziali in quell'azienda, finché non si rimedia (art. 38, c. 6).
• Il codice civile: le FAQ dell'ACN richiamano le norme sulla responsabilità degli amministratori (artt. 2381 e 2392 c.c.). Nelle amministrazioni pubbliche valgono la responsabilità dirigenziale, disciplinare e amministrativo-contabile (art. 38, c. 7).

In pratica, per un consiglio di amministrazione

1. Mettete la NIS2 all'ordine del giorno: siamo dentro? Siamo registrati? Qual è la nostra scadenza per le misure?
2. Decidete chi segue la sicurezza, compresi punto di contatto e referente CSIRT, e approvate l'organizzazione.
3. Approvate con delibera i documenti dell'elenco, man mano che sono pronti.
4. Pianificate la formazione dei consiglieri e registratela.
5. Chiedete una relazione periodica scritta e verbalizzate le decisioni.

La quarta tappa di Pilot è dedicata a vertici, ruoli e formazione: tiene traccia di chi ha fatto cosa, delle delibere e degli attestati, e vi ricorda quando rinnovarli. Iniziate il percorso.

Domande frequenti