Cosa chiede la NIS2 agli organi di amministrazione?<\/h2>\n
Gli obblighi dei vertici aziendali sono contenuti nell’articolo 20 della direttiva NIS2<\/a>, dedicato alla governance, che in Italia \u00e8 stato recepito dall’articolo 23 del D.Lgs. 138\/2024.<\/p>\n Si riassumono in quattro doveri che ricadono sull’organo di amministrazione e che non possono essere scaricati sul responsabile IT.<\/p>\n Il vertice aziendale deve approvare le misure di cybersicurezza che l’azienda adotta per rispettare l’articolo 21 della direttiva, ripreso dall’articolo 24 del decreto italiano. Questo articolo fissa una base minima comune<\/strong> che comprende, tra l’altro, i seguenti punti.<\/p>\n Approvare significa conoscere queste misure e convalidarle in modo esplicito, con una decisione che resti agli atti. Firmare un documento senza averlo letto non basta<\/strong>.<\/p>\n Per ripassare tutti i requisiti nel dettaglio, \u00e8 disponibile una checklist della direttiva NIS2<\/a> che li raccoglie punto per punto.<\/p>\n Approvare le misure \u00e8 solo il primo passo. La NIS2 chiede anche ai vertici di verificare che quelle misure vengano applicate davvero<\/strong>.<\/p>\n Questo non significa che amministratori e manager debbano entrare nel dettaglio tecnico. Ci si aspetta che ricevano con regolarit\u00e0 informazioni sullo stato della sicurezza, che facciano domande quando qualcosa non torna e che seguano le criticit\u00e0 emerse fino alla loro risoluzione.<\/p>\n Se il team IT segnala che un terzo dei portatili non \u00e8 cifrato, il vertice deve esserne al corrente e decidere come intervenire.<\/p>\n La direttiva prevede che gli organi di amministrazione possano essere ritenuti responsabili quando l’azienda non rispetta gli obblighi dell’articolo 21<\/strong>. \u00c8 l’aspetto che preoccupa di pi\u00f9 chi siede in consiglio, perch\u00e9 apre la strada alla responsabilit\u00e0 personale.<\/p>\n Il tema \u00e8 approfondito pi\u00f9 avanti, nella sezione dedicata.<\/p>\n L’articolo 20, paragrafo 2, obbliga i membri dell’organo di amministrazione a seguire una formazione in materia di sicurezza informatica<\/strong>. L’obiettivo \u00e8 che abbiano conoscenze sufficienti per individuare i rischi, valutare le pratiche di gestione del rischio e comprenderne l’impatto sui servizi dell’azienda.<\/p>\n La direttiva non impone un corso certificato n\u00e9 un numero minimo di ore. Conta che la formazione ci sia, che venga ripetuta con una certa regolarit\u00e0 e che ne resti traccia.<\/p>\n Il testo incoraggia inoltre le aziende a offrire periodicamente una formazione analoga anche ai dipendenti.<\/p>\n Questi obblighi riguardano solo i vertici delle aziende che rientrano nel perimetro della NIS2. Di norma si tratta di medie e grandi imprese dei settori elencati negli allegati I e II della direttiva<\/strong>, anche se alcuni soggetti vi rientrano a prescindere dalle dimensioni.<\/p>\n Per chiarire eventuali dubbi sul proprio caso, conviene leggere la guida su a chi si applica la direttiva NIS2 in Italia<\/a>.<\/p>\n La direttiva parla di organi di amministrazione senza entrare nel merito delle singole forme societarie.<\/p>\n In Italia l’ACN ha chiarito che si tratta degli organi che detengono il potere di direzione dell’organizzazione, a partire dal consiglio di amministrazione<\/strong> dove presente, oppure dall’amministratore unico<\/strong>. I dirigenti che non fanno parte del CdA, invece, non rientrano in questa definizione.<\/p>\n Il decreto chiama in causa anche le persone fisiche che svolgono funzioni dirigenziali a livello di amministratore delegato o di rappresentante legale<\/strong>. Per questo l’AD e chiunque abbia poteri di rappresentanza farebbero bene a sentirsi direttamente coinvolti.<\/p>\n La NIS2 distingue tra soggetti essenziali e soggetti importanti<\/a>. Gli obblighi dei vertici sono gli stessi in entrambi i casi, ma cambiano la vigilanza e le sanzioni.<\/p>\n I soggetti essenziali sono sottoposti a una vigilanza ex ante<\/strong>, con ispezioni e audit anche quando non \u00e8 successo nulla. Per i soggetti importanti la vigilanza \u00e8 invece ex post<\/strong> e di solito scatta dopo un incidente o una segnalazione.<\/p>\n Inoltre, la sospensione temporanea di un dirigente \u00e8 prevista solo per i soggetti essenziali.<\/p>\n S\u00ec e no. Il vertice pu\u00f2 delegare l’esecuzione, ma la responsabilit\u00e0 resta sua. \u00c8 il concetto pi\u00f9 importante da tenere a mente, ed \u00e8 anche quello che genera pi\u00f9 confusione.<\/p>\n Il CdA non deve occuparsi del lavoro tecnico<\/strong>. Tutta la parte operativa pu\u00f2 essere affidata al CISO, al team IT o a un fornitore esterno, cio\u00e8 a chi ha le competenze per farlo.<\/p>\n L’approvazione delle misure, la vigilanza sulla loro attuazione e la propria formazione restano in capo agli organi di amministrazione. Lo stesso vale per le decisioni di fondo, come quali rischi accettare, quanto budget destinare alla sicurezza o quali criticit\u00e0 correggere per prime.<\/p>\n Affidare l’esecuzione al responsabile della sicurezza \u00e8 del tutto compatibile con la NIS2, e le FAQ dell’ACN lo confermano. Le attivit\u00e0 si possono delegare, ma la responsabilit\u00e0 ricade per legge sugli organi di amministrazione.<\/p>\n Quello che la normativa non ammette \u00e8 un vertice che si disinteressa del tema<\/strong>.<\/p>\n Con la NIS2 la cybersicurezza smette di essere solo un problema dell’azienda. Se le cose vengono fatte male, anche chi la guida pu\u00f2 subirne le conseguenze.<\/p>\n Un amministratore non risponde per il semplice fatto che l’azienda subisce un attacco informatico. Risponde quando non ha fatto la sua parte<\/strong>, cio\u00e8 quando non ha approvato le misure di sicurezza, non ha vigilato sulla loro applicazione o ha ignorato i problemi che gli erano stati segnalati.<\/p>\n Ecco perch\u00e9 \u00e8 cos\u00ec importante poter dimostrare che il vertice ha seguito la questione da vicino.<\/p>\n Le conseguenze dipendono dal tipo di soggetto e dalla gravit\u00e0 della violazione.<\/p>\n Per approfondire, \u00e8 disponibile l’articolo sulle sanzioni per il mancato rispetto della direttiva NIS2<\/a>.<\/p>\n A differenza di altri Paesi europei, l’Italia ha gi\u00e0 recepito la NIS2 con il D.Lgs. 138\/2024<\/strong>, in vigore dal 16 ottobre 2024.<\/p>\n L’autorit\u00e0 competente \u00e8 l’Agenzia per la Cybersicurezza Nazionale (ACN), che da allora ha pubblicato determinazioni e FAQ per chiarire come applicare gli obblighi. Tempi e scadenze sono ricostruiti nell’articolo sull’entrata in vigore della direttiva NIS2 in Italia<\/a>.<\/p>\n Sul fronte dei vertici, l’ACN chiede ai soggetti NIS di indicare sulla propria piattaforma tutti i componenti del consiglio di amministrazione, e non solo il rappresentante legale e l’amministratore delegato. Ogni consigliere, quindi, \u00e8 identificato per nome.<\/p>\n Le misure di sicurezza di base vanno inoltre adottate entro ottobre 2026, e diversi documenti richiesti dall’ACN devono essere approvati proprio dagli organi di amministrazione.<\/p>\n A tutto questo si sommano gli obblighi che il codice civile prevede gi\u00e0. Gli amministratori devono curare l’adeguatezza degli assetti organizzativi dell’impresa (articoli 2086 e 2381) e adempiere ai propri doveri con la diligenza richiesta dalla natura dell’incarico (articolo 2392).<\/p>\n Se un attacco informatico causa danni e si dimostra che il vertice ha ignorato i rischi o gli avvertimenti del proprio team, pu\u00f2 essere chiamato a risponderne, che l’azienda rientri o meno nel perimetro della NIS2.<\/p>\n Il modo pi\u00f9 pratico per rispettare l’articolo 20 \u00e8 trasformare la supervisione della cybersicurezza in una routine di governance<\/strong>, come gi\u00e0 avviene per l’esame dei conti o dei rischi finanziari. Questi sono i passi di base.<\/p>\n Occorre definire chi si occupa della sicurezza nel quotidiano<\/strong>, con quale autorit\u00e0 e con quali risorse. Pu\u00f2 essere un CISO, un responsabile IT o un fornitore esterno, ma il suo ruolo e il modo in cui riferisce al consiglio devono essere documentati.<\/p>\n Molte aziende istituiscono anche un comitato per la cybersicurezza<\/strong> oppure inseriscono il tema come punto fisso all’ordine del giorno del CdA.<\/p>\n Per vigilare, il vertice ha bisogno di informazioni chiare e regolari. La soluzione pi\u00f9 pratica \u00e8 chiedere un report trimestrale, senza tecnicismi e con alcuni indicatori semplici come questi.<\/p>\n Perch\u00e9 questi indicatori siano affidabili, l’azienda deve prima sapere cosa possiede. \u00c8 qui che entra in gioco l’inventario degli asset nella NIS2<\/a>, su cui si basa quasi ogni report di sicurezza.<\/p>\n Le misure di sicurezza richiedono budget, tempo e persone. Se il consiglio le approva senza assegnare le risorse necessarie, il problema resta suo.<\/p>\n La buona notizia \u00e8 che la NIS2 non chiede a tutte le aziende la stessa cosa. Le misure devono essere commisurate alle dimensioni e al livello di rischio di ciascuna, quindi una PMI non deve investire come una banca.<\/p>\n L’importante \u00e8 che il vertice stabilisca cosa \u00e8 ragionevole e lo metta per iscritto.<\/p>\n Il discorso vale anche per i fornitori<\/a> e per le applicazioni SaaS usate dal team<\/a>, che fanno parte a pieno titolo del rischio aziendale.<\/p>\n In caso di ispezione, dire che il vertice ha vigilato non basta. Bisogna poterlo dimostrare.<\/p>\n Per questo conviene conservare tutto ci\u00f2 che lascia traccia di quella vigilanza, ovvero i verbali in cui si approvano le misure, i report esaminati dal consiglio, le decisioni su rischi e budget e i registri della formazione seguita dai suoi componenti.<\/p>\n Con questa documentazione, l’ACN pu\u00f2 verificare senza difficolt\u00e0 che i vertici hanno fatto la loro parte.<\/p>\n \u00c8 anche la stessa documentazione che viene richiesta durante un audit NIS2<\/a>. Prima si inizia a raccoglierla, meno lavoro ci sar\u00e0 quando arriver\u00e0 il momento.<\/p>\n Il vertice pu\u00f2 vigilare bene solo se dispone di dati chiari e aggiornati. Il problema \u00e8 che in molte aziende queste informazioni sono sparse tra fogli di calcolo, email e strumenti diversi, e metterle insieme richiede ore.<\/p>\n Factorial IT<\/a> riunisce dispositivi, accessi e applicazioni in un’unica piattaforma collegata all’HR. Cos\u00ec il team IT ha sempre a portata di mano lo stato reale della sicurezza e pu\u00f2 condividerlo con il CdA senza doverlo ricostruire ogni volta.<\/p>\n Lo strumento fornisce dati ed evidenze, ma approvare le misure, decidere le risorse e metterle a verbale resta compito degli organi di amministrazione. Per vedere tutti i requisiti coperti, si pu\u00f2 leggere come Factorial IT aiuta a conformarsi alla NIS2<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"Approvare le misure di gestione del rischio<\/h3>\n
\n
Vigilare sull’attuazione delle misure<\/h3>\n
Rispondere delle violazioni<\/h3>\n
Formarsi in materia di cybersicurezza<\/h3>\n
Quali amministratori sono coinvolti?<\/h2>\n
Chi fa parte dell’organo di amministrazione<\/h3>\n
Soggetti essenziali e importanti<\/h3>\n
Gli organi di amministrazione possono delegare la NIS2?<\/h2>\n
Cosa si pu\u00f2 delegare<\/h3>\n
\n
Cosa non si pu\u00f2 delegare<\/h3>\n
Quale responsabilit\u00e0 personale si assumono gli amministratori?<\/h2>\n
Quando risponde un amministratore<\/h3>\n
Cosa si rischia<\/h3>\n
\n
NIS2 e organi di amministrazione in Italia<\/h2>\n
Come rispettare la NIS2 a livello di vertice aziendale?<\/h2>\n
1. Assegnare le responsabilit\u00e0 per iscritto<\/h3>\n
2. Ricevere informazioni periodiche su rischi e incidenti<\/h3>\n
\n
3. Destinare risorse proporzionate al rischio<\/h3>\n
4. Documentare l’attivit\u00e0 di vigilanza<\/h3>\n
Come supervisionare la cybersicurezza con Factorial IT?<\/h2>\n
\n
![\"gestione](\"https:\/\/factorial.it\/wp-content\/uploads\/2026\/09\/14121148\/gestion-activos-factorial-it-1024x505.png\")
<\/p>\n\n
![\"controlli](\"https:\/\/factorial.it\/wp-content\/uploads\/2026\/09\/18140225\/controles-factorial-it-1024x500.png\")
<\/p>\n\n