NIS2 E FILIERA DIGITALE: RESPONSABILITÀ DIRETTA DEGLI ORGANI DIRETTIVI E OBBLIGHI DI CYBERSICUREZZA

La Direttiva NIS2 porta la gestione del rischio informatico direttamente ai vertici delle organizzazioni. Nel quarto approfondimento contenuto nel documento allegato, l’attenzione è rivolta alla scadenza del 31 ottobre 2026, indicata come termine entro il quale i soggetti essenziali e importanti inseriti nel perimetro NIS2 dovranno aver completato l’adeguamento formale delle misure di sicurezza e della catena di fornitura. A circa tre mesi dalla scadenza, il documento richiama l’attenzione sui chiarimenti dell’Agenzia per la Cybersicurezza Nazionale (ACN) e sulla responsabilità che grava direttamente sugli organi direttivi. Il punto centrale è particolarmente rilevante per amministratori e management: la cybersecurity non può essere considerata una materia esclusivamente tecnica da affidare al reparto IT, perché la governance del rischio cyber coinvolge direttamente chi assume le decisioni strategiche dell’organizzazione.

NIS2: LA CYBERSICUREZZA ARRIVA AI VERTICI AZIENDALI

La disciplina NIS2 introduce un modello nel quale la sicurezza informatica diventa parte della governance dell’organizzazione.

Secondo il documento allegato, gli amministratori sono direttamente coinvolti nell’adeguamento e devono assumere un ruolo attivo nella gestione dei rischi cyber.

Questo significa superare una concezione della cybersecurity come attività confinata alle funzioni tecniche. Le scelte relative alla sicurezza possono incidere sulla continuità operativa, sui rapporti con fornitori e clienti e, più in generale, sulla capacità dell’organizzazione di affrontare un incidente informatico.

FORMAZIONE OBBLIGATORIA PER GLI AMMINISTRATORI

Tra gli obblighi principali evidenziati nell’articolo figura la formazione degli amministratori sulla gestione dei rischi cyber.

Il documento la qualifica espressamente come formazione obbligatoria.

Il coinvolgimento dei vertici, quindi, non si esaurisce nell’approvazione formale di documenti predisposti dalle funzioni tecniche. Gli amministratori devono possedere competenze che consentano loro di comprendere i rischi e assumere decisioni coerenti con il livello di esposizione dell’organizzazione.

La formazione diventa così parte integrante del modello di governance della sicurezza.

GESTIONE DELLE VULNERABILITÀ: IL VERTICE DEVE APPROVARE LE POLITICHE

Il secondo obbligo richiamato nel documento riguarda le politiche di gestione delle vulnerabilità, che devono essere approvate dagli amministratori.

Una vulnerabilità informatica può trasformarsi in un punto di ingresso per un attacco e produrre conseguenze sulla disponibilità dei servizi e sulla sicurezza delle informazioni.

La gestione delle vulnerabilità non può quindi essere considerata soltanto un’attività operativa: secondo l’impostazione descritta nell’allegato, le politiche che ne disciplinano la gestione devono essere ricondotte alla responsabilità degli organi di governo aziendale.

NIS2 E CATENA DI FORNITURA

Il documento pone inoltre l’accento sulla catena di fornitura, indicandola espressamente tra gli aspetti sui quali deve essere completato l’adeguamento formale entro il termine del 31 ottobre 2026.

È un punto particolarmente importante perché la sicurezza di un’organizzazione può dipendere anche dai soggetti esterni con cui essa interagisce.

Fornitori, partner e altri soggetti della filiera possono infatti rappresentare elementi rilevanti nella gestione complessiva del rischio cyber. L’adeguamento NIS2 richiede quindi, secondo il documento, di considerare la sicurezza non soltanto all’interno dell’organizzazione, ma anche nel rapporto con la propria supply chain.

DELEGARE LE ATTIVITÀ TECNICHE NON SIGNIFICA IGNORARE IL RISCHIO

La presenza di specialisti della sicurezza informatica rimane naturalmente fondamentale.

Tuttavia, il messaggio dell’approfondimento è che la gestione operativa e la responsabilità degli organi direttivi sono piani differenti.

Il reparto IT può occuparsi delle attività tecniche necessarie alla sicurezza dei sistemi, ma il vertice aziendale deve essere coinvolto nelle decisioni che il quadro NIS2 attribuisce direttamente agli organi di governo.

Per amministratori e dirigenti diventa quindi importante disporre di flussi informativi che consentano di conoscere il livello di rischio e lo stato dell’adeguamento.

RESPONSABILITÀ AMMINISTRATIVA DEI VERTICI

L’aspetto più delicato richiamato dal documento riguarda le conseguenze dell’inosservanza degli obblighi.

Secondo l’articolo allegato, l’omissione degli adempimenti relativi alla formazione e all’approvazione delle politiche di gestione delle vulnerabilità può esporre direttamente gli organi di governo aziendale a responsabilità amministrative.

La compliance NIS2 assume quindi anche una dimensione personale per chi ricopre funzioni direttive.

Per questa ragione è importante che il percorso di adeguamento non sia soltanto realizzato, ma anche correttamente organizzato e documentato.

COSA FARE IN VISTA DEL 31 OTTOBRE 2026

Sulla base del documento allegato, le organizzazioni interessate dovrebbero concentrare l’attenzione su tre elementi: completamento delle misure di sicurezza, adeguamento della catena di fornitura e coinvolgimento effettivo degli organi direttivi attraverso formazione e approvazione delle politiche di competenza.

Il materiale fornito non specifica ulteriormente le singole misure tecniche da adottare né le modalità operative della formazione. Questi aspetti devono quindi essere valutati facendo riferimento alla disciplina NIS2 applicabile e alle indicazioni dell’ACN.

Ciò che emerge con chiarezza dall’approfondimento è che la cybersecurity diventa una responsabilità organizzativa e di governance, non soltanto tecnologica.