NIS2 e responsabilità del management in Italia: cosa devono fare gli organi di amministrazione e direttivi

La cybersicurezza è una responsabilità della leadership, non solo dell'IT

Con il Decreto Legislativo 4 settembre 2024, n. 138 (Decreto NIS2), l'Italia ha recepito la direttiva (EU) 2022/2555. Uno dei cambiamenti più rilevanti per chi guida un'azienda è chiaro: la sicurezza informatica smette di essere un tema puramente tecnico e diventa una responsabilità diretta del vertice.

La direttiva è esplicita all'art 20(1): gli Stati membri assicurano che gli organi di gestione dei soggetti essenziali e importanti approvino le misure di gestione dei rischi di cybersicurezza adottate per conformarsi all'articolo 21, ne vigilino l'attuazione e possano essere ritenuti responsabili delle violazioni da parte dei soggetti stessi.

In Italia questo principio è tradotto nell'art 23 del D.Lgs 138/2024. Se la vostra organizzazione rientra tra i soggetti essenziali o i soggetti importanti, il consiglio di amministrazione e la direzione non possono limitarsi a delegare tutto al reparto IT o a un fornitore esterno: la responsabilità di indirizzo e vigilanza resta in capo a loro.

Vuoi capire se la tua azienda rientra nell'ambito NIS2 e a che punto sei? Usa il nostro strumento gratuito di scoping e gap analysis per un primo orientamento.

Cosa impone concretamente l'art 23 agli organi di amministrazione e direttivi

L'art 23, comma 1 del D.Lgs 138/2024 attribuisce agli organi di amministrazione e agli organi direttivi tre obblighi fondamentali:

• Approvare le modalità di implementazione delle misure di gestione dei rischi per la sicurezza informatica adottate ai sensi dell'art 24;
• Sovrintendere all'implementazione degli obblighi del capo di riferimento e dell'art 7 (registrazione ed elenco dei soggetti);
• Essere responsabili delle violazioni previste dal decreto.

Inoltre, l'art 23, comma 3 stabilisce che gli stessi organi siano informati su base periodica o, se opportuno, tempestivamente, degli incidenti e delle notifiche di cui agli articoli 25 e 26.

Le misure che il vertice deve approvare non sono generiche. L'art 24 richiede misure tecniche, operative e organizzative adeguate e proporzionate, basate su un approccio multi-rischio, che comprendono almeno: politiche di analisi dei rischi, gestione degli incidenti, continuità operativa e backup, sicurezza della catena di approvvigionamento, sicurezza nell'acquisizione e sviluppo dei sistemi, valutazione dell'efficacia delle misure, igiene informatica di base e formazione, crittografia, controllo degli accessi e autenticazione a più fattori.

In pratica: il management deve conoscere, valutare e approvare formalmente il quadro di sicurezza, non semplicemente prenderne atto.

L'obbligo di formazione: prima per il vertice, poi per i dipendenti

Un aspetto spesso sottovalutato riguarda la formazione. L'art 23, comma 2 impone due obblighi distinti:

• Gli organi di amministrazione e direttivi sono tenuti a seguire una formazione in materia di sicurezza informatica;
• Gli stessi organi promuovono l'offerta periodica di una formazione coerente ai loro dipendenti, per favorire l'acquisizione di conoscenze e competenze sufficienti a individuare i rischi e valutare le pratiche di gestione dei rischi per la sicurezza informatica e il loro impatto sulle attività del soggetto e sui servizi offerti.

La logica è precisa: chi decide e vigila deve prima acquisire le competenze per farlo. Non si può approvare in modo consapevole ciò che non si comprende. La formazione del vertice diventa quindi un requisito di legge, non un'opzione di buona pratica.

È utile documentare la formazione svolta: in caso di verifica, la capacità di dimostrare che gli organi hanno seguito percorsi formativi adeguati contribuisce a comprovare la diligenza dell'organizzazione.

La dimensione della responsabilità personale e le sanzioni

Il D.Lgs 138/2024 collega esplicitamente il ruolo del vertice al regime sanzionatorio. L'art 38, comma 5 stabilisce che qualsiasi persona fisica responsabile di un soggetto essenziale, o che ne sia rappresentante legale con l'autorità di rappresentarlo, prendere decisioni per suo conto o esercitare un controllo, assicura il rispetto delle disposizioni del decreto e può essere ritenuta responsabile dell'inadempimento in caso di violazione da parte del soggetto.

Inoltre, l'art 38, comma 6 prevede che, qualora il soggetto non adempia nei termini stabiliti dalla diffida di cui all'art 37, commi 6 e 7, l'Autorità nazionale competente NIS possa disporre nei confronti delle persone fisiche indicate — inclusi gli organi di amministrazione e direttivi di cui all'art 23 e chi svolge funzioni di amministratore delegato o rappresentante legale — l'applicazione della sanzione amministrativa accessoria dell'incapacità a svolgere funzioni dirigenziali all'interno del medesimo soggetto, finché non siano adottate le misure necessarie a porre rimedio.

Sul piano delle sanzioni pecuniarie, la mancata osservanza degli obblighi imposti dall'art 23 rientra tra le violazioni sanzionate dall'art 38, comma 8. In base all'art 38, comma 9, tali violazioni sono punite:

Gli importi sono calcolati secondo le modalità previste dalla raccomandazione 2003/361/CE. Per i soggetti essenziali il minimo è fissato in un ventesimo del massimo edittale; per i soggetti importanti in un trentesimo.

L'Agenzia per la Cybersicurezza Nazionale (ACN) è l'Autorità nazionale competente NIS che monitora, ispeziona, adotta misure di esecuzione e irroga le sanzioni. Le notifiche di incidente vanno invece trasmesse al CSIRT Italia, operante all'interno dell'ACN.

Da dove partire: approvazione, vigilanza e prova della diligenza

Per un vertice aziendale, tradurre l'art 23 in pratica significa costruire un percorso concreto:

• Verificare l'ambito di applicazione: capire se l'organizzazione è un soggetto essenziale o importante e completare la registrazione sulla piattaforma ACN nella finestra prevista dall'art 7 (dal 1° gennaio al 28 febbraio di ogni anno).
• Approvare formalmente le misure di gestione del rischio ai sensi dell'art 24, con delibera documentata.
• Organizzare la vigilanza: definire flussi informativi periodici verso gli organi, in coerenza con l'art 23, comma 3, sugli incidenti e le notifiche.
• Pianificare la formazione del vertice e dei dipendenti, come richiesto dall'art 23, comma 2.
• Documentare tutto: verbali di approvazione, evidenze di formazione, piani di implementazione. In sede di verifica e ispezione (art 36), la tracciabilità è essenziale.

Ricordate che le modalità e i termini graduali di implementazione degli obblighi sono definiti dall'ACN secondo i criteri di proporzionalità e gradualità dell'art 31.

Il primo passo è sapere dove ti trovi. Il nostro strumento gratuito di scoping e gap analysis ti aiuta a identificare l'ambito di applicazione e le principali lacune, così da guidare le decisioni del tuo organo di amministrazione.