NIS2 E RESPONSABILITÀ DEGLI ORGANI DI VERTICE: LE NUOVE FAQ ACN CHIARISCONO COSA DEVE APPROVARE IL CDA

La cybersicurezza entra definitivamente nella governance aziendale e non può essere considerata una materia riservata esclusivamente ai responsabili IT. Il 14 luglio 2026 l’Agenzia per la Cybersicurezza Nazionale (ACN) ha aggiornato le FAQ dedicate agli obblighi degli organi di amministrazione e direttivi dei soggetti sottoposti alla disciplina NIS2, integrando le FAQ ODA.8 e ODA.9 e introducendo le nuove ODA.10, ODA.11 e ODA.12. I chiarimenti riguardano tre aspetti fondamentali: quali documenti devono essere approvati dagli organi di vertice, quali attività possono essere affidate alle strutture operative e come organizzare la documentazione relativa alla sicurezza informatica. Il principio che emerge è chiaro: si possono semplificare i processi, ma la responsabilità strategica sulla cybersicurezza rimane in capo al vertice dell’organizzazione.

NIS2: LA CYBERSICUREZZA È UNA RESPONSABILITÀ DI GOVERNANCE

Il quadro normativo parte dall’art. 20 della Direttiva (UE) 2022/2555 – NIS2, che attribuisce agli organi di gestione il compito di approvare le misure di gestione dei rischi di cybersicurezza e di supervisionarne l’attuazione.

In Italia, il principio è stato recepito dall’art. 23 del D.Lgs. 4 settembre 2024, n. 138, secondo cui gli organi di amministrazione e direttivi devono approvare le modalità di implementazione delle misure di gestione dei rischi adottate ai sensi dell’art. 24, sovrintendere alla loro attuazione e rispondere delle violazioni previste dal decreto.

Sono inoltre previsti obblighi formativi e flussi informativi sugli incidenti di sicurezza e sulle relative notifiche.

Questo non significa trasformare il consiglio di amministrazione in un organismo tecnico. Significa, invece, riconoscere la cybersicurezza come rischio strategico dell’organizzazione, rispetto al quale il vertice deve assumere decisioni consapevoli.

QUALI DOCUMENTI DEVONO ESSERE APPROVATI DAL VERTICE

La nuova FAQ ODA.10 individua, attraverso il rinvio all’Appendice C della Guida alla lettura delle specifiche di base, i documenti che devono essere sottoposti all’approvazione degli organi di amministrazione e direttivi.

Tra questi figurano l’organizzazione per la sicurezza informatica, le politiche di sicurezza, la valutazione del rischio, il piano di trattamento del rischio, il piano di gestione delle vulnerabilità e il piano di adeguamento.

A questi si aggiungono il piano di continuità operativa, il piano di ripristino in caso di disastro, il piano di gestione delle crisi, il piano di formazione e il piano per la gestione degli incidenti di sicurezza informatica.

IL CDA NON DEVE APPROVARE OGNI PROCEDURA TECNICA

Uno dei chiarimenti più importanti riguarda il livello di dettaglio richiesto.

I documenti sottoposti al vertice devono contenere gli elementi necessari affinché gli amministratori possano comprendere le scelte strategiche: perimetro, priorità, responsabilità, risorse, criteri di controllo e rischi residui.

Questo non significa, però, che il consiglio debba approvare ogni manuale, procedura o istruzione tecnica.

Le procedure operative, le istruzioni tecniche, i manuali e le relazioni interne possono essere predisposti e aggiornati dalle strutture competenti senza essere sottoposti ogni volta all’approvazione degli organi di amministrazione e direttivi.

La distinzione consente quindi di mantenere il vertice sul piano della governance e le funzioni specialistiche su quello dell’attuazione operativa.

UN DOCUMENTO UNICO O PIÙ DOCUMENTI? ENTRAMBE LE SOLUZIONI SONO POSSIBILI

Le nuove FAQ ODA.11 e ODA.12 chiariscono inoltre che non esiste necessariamente un unico modello documentale.

Il soggetto NIS può raccogliere i contenuti richiesti in un documento unitario oppure distribuirli tra più documenti coordinati.

Ciò che conta non è il numero dei documenti, ma la completezza delle informazioni, la coerenza dei rinvii e la chiara attribuzione delle responsabilità.

Il sistema documentale deve inoltre consentire di ricostruire le modifiche apportate nel tempo e garantirne la tracciabilità.

QUANDO È NECESSARIA UNA NUOVA APPROVAZIONE

L’aggiornamento di una procedura tecnica non comporta automaticamente la necessità di sottoporre nuovamente al vertice tutti i documenti strategici che la richiamano.

Occorre però prestare attenzione alla portata della modifica.

Quando un aggiornamento operativo incide sulle priorità, sulle assunzioni o sui livelli di rischio sui quali si fondava una precedente decisione strategica, può rendersi necessario un nuovo coinvolgimento dell’organo competente.

La semplificazione documentale, quindi, non equivale a una riduzione della supervisione.

DELEGA SÌ, TRASFERIMENTO DELLA RESPONSABILITÀ NO

Particolarmente rilevanti sono anche i chiarimenti contenuti nelle FAQ ODA.8 e ODA.9.

Le attività necessarie per dare concreta attuazione agli obblighi possono essere affidate alle strutture operative. Tuttavia, l’approvazione dei documenti individuati ai sensi dell’art. 23 del D.Lgs. n. 138/2024 rimane di competenza dell’organo collegiale o, quando previsto dal modello di governance, dell’organo monocratico.

Non può quindi essere trasferita a un singolo amministratore, a un diverso organo o alle funzioni tecniche interne.

Anche il richiamo agli artt. 2381 e 2392 del Codice Civile, secondo quanto riportato nell’approfondimento allegato, non consente di trasferire gli obblighi che il decreto NIS attribuisce direttamente agli organi di vertice. Le deleghe societarie continuano ad avere importanza nell’organizzazione delle funzioni e dei flussi informativi, ma non possono svuotare la responsabilità strategica prevista dalla disciplina NIS2.

COSA DEVONO FARE ORA IMPRESE E PUBBLICHE AMMINISTRAZIONI

Per i soggetti interessati diventa quindi essenziale verificare che il modello di governance adottato sia coerente con i chiarimenti ACN. In particolare, occorre distinguere correttamente documentazione strategica e documentazione operativa, definire chi può aggiornare le procedure, organizzare adeguati flussi di reporting verso il vertice e individuare quando una modifica richiede un nuovo intervento dell’organo di amministrazione.

Assume inoltre particolare importanza la documentazione delle decisioni: delibere, verbali, report e tracciamento delle attività dovrebbero consentire di dimostrare non soltanto che un documento è stato formalmente approvato, ma anche che il vertice disponeva delle informazioni necessarie per assumere consapevolmente le proprie decisioni.

NIS2: LA COMPLIANCE NON È SOLO UN ADEMPIMENTO IT

Le FAQ ACN alleggeriscono alcuni passaggi formali e consentono alle strutture tecniche di operare con maggiore autonomia, ma non riducono il livello di responsabilità richiesto agli organi di vertice.

Il messaggio per imprese e Pubbliche Amministrazioni è quindi particolarmente rilevante: la gestione del rischio cyber deve entrare stabilmente nei processi decisionali dell’organizzazione.