In sintesi
- L'articolo 23 impone agli organi di amministrazione di approvare le misure, sovrintenderne l'attuazione e seguire formazione specifica.
- Le sanzioni arrivano a 10 milioni o 2% del fatturato per gli essenziali e a 7 milioni o 1,4% per gli importanti.
- Le persone fisiche con funzioni dirigenziali possono essere ritenute personalmente responsabili.
- Un ciclo annuale di delibere, cruscotti e formazione fornisce le prove della governance.
La cybersicurezza è un tema da tecnici, e quindi non da consiglio di amministrazione. La NIS2 ha smontato questa idea. Il tema della NIS2 responsabilità amministratori è forse il più frainteso: molti pensano che basti nominare un responsabile IT, mentre il decreto chiama in causa direttamente chi governa l'impresa.
Che cosa dice l'articolo 23
L'articolo 23 del D.Lgs. 138/2024 impone agli organi di amministrazione tre obblighi che non si delegano: approvare le misure di sicurezza, sovrintenderne l'attuazione e seguire una formazione specifica, come sintetizza lo Studio Legale Stefanelli. Lo ribadisce anche il Vademecum ACN, che collega l'adempimento al coinvolgimento degli organi di amministrazione e direttivi, secondo la lettura di Unindustria.
Cosa si rischia
La norma prevede due piani di responsabilità. Il primo è quello dell'impresa: per i soggetti essenziali le sanzioni amministrative arrivano fino a 10 milioni di euro o al 2% del fatturato annuo mondiale; per gli importanti fino a 7 milioni o all'1,4%, come riporta il Bollettino Ufficiale. Il secondo è quello delle persone: le persone fisiche con funzioni dirigenziali possono essere ritenute personalmente responsabili, e tra le sanzioni accessorie c'è l'incapacità a svolgere funzioni dirigenziali, con possibile sospensione fino all'adozione delle misure correttive.
Il punto da sottolineare: la responsabilità non nasce dall'incidente, ma dalla mancata governance. Un attacco subìto da un'impresa che ha approvato, supervisionato e documentato le misure non è la stessa cosa di un attacco subìto da un'impresa che non l'ha fatto.
L'agenda del consiglio
Propongo agli amministratori un ciclo semplice, da inserire nel calendario annuale.
| Momento | Cosa fa il consiglio | Prova da conservare |
|---|---|---|
| Inizio anno | Approva il piano di sicurezza e il budget | Verbale con delibera |
| Trimestrale | Riceve un cruscotto con rischi, incidenti, stato delle misure | Verbale con presa d'atto |
| Annuale | Partecipa alla formazione specifica | Registro di partecipazione |
| Dopo un incidente | Riceve relazione e decide azioni correttive | Relazione e delibera |
NIS2 responsabilità amministratori: il cruscotto trimestrale
Per mettere in pratica l'obbligo di sovrintendere, propongo un cruscotto di una pagina con sei elementi: lo stato delle misure rispetto al piano approvato, gli incidenti del trimestre (anche quelli non notificati, con la motivazione), le vulnerabilità critiche aperte e da quanto tempo, l'esito dell'ultimo test di ripristino, lo stato dei fornitori critici, la formazione svolta.
Accanto al cruscotto, la delibera. Il verbale dovrebbe riportare che il consiglio ha ricevuto il cruscotto, discusso i punti di attenzione e assegnato azioni con responsabile e scadenza. Non servono formule solenni: servono fatti e date. Se il consiglio decide di accettare un rischio, il verbale lo dice e ne dà la ragione. La formazione degli amministratori deve essere specifica, cioè legata al ruolo, e documentata: una sessione annuale di due ore, con casi e domande, è un buon punto di partenza.
Le domande che un amministratore dovrebbe fare
Non servono competenze tecniche per governare, serve saper chiedere. Quattro domande bastano a cominciare.
- Quali sono i nostri servizi più critici e da quali sistemi dipendono?
- Quando abbiamo provato l'ultimo ripristino da backup e con quale esito?
- Chi è il punto di contatto verso ACN e chi lo sostituisce?
- Quali fornitori critici abbiamo e come li controlliamo?
Le domande più utili sono spesso quelle dei membri meno tecnici: cosa succede se, quanto tempo ci mettiamo, chi decide. Sono le domande che il decreto vuole vedere fare. Conserva cruscotti e verbali per più anni: dimostrare un percorso nel tempo è più convincente di una fotografia.
Il legame con la scadenza delle misure
Per i soggetti inseriti nell'elenco nel 2025 i diciotto mesi per le misure di base scadono, per la maggior parte, nel mese di ottobre 2026. Il consiglio deve sapere se la scadenza è rispettata e in che stato sono le evidenze: ne parlo nell'articolo sulle misure di sicurezza di base NIS2. Per gli incidenti, i tempi sono 24 ore per la pre-notifica e 72 per la notifica: vedi la guida sulla notifica dell'incidente NIS2.
Cosa fare adesso
Fissa nel prossimo consiglio un punto all'ordine del giorno sulla sicurezza e verifica la tua posizione con l'autovalutazione NIS2. La pagina consulente NIS2 descrive il mio metodo, e quella del Fractional CISO mostra come portare competenza in consiglio senza assumere un dirigente. Il glossario spiega chi sono i soggetti essenziali e i soggetti importanti.
Domande frequenti
Gli amministratori rispondono personalmente per la NIS2?
L'articolo 23 prevede che le persone fisiche con funzioni dirigenziali possano essere ritenute personalmente responsabili delle violazioni, con sanzioni accessorie come la sospensione dalle funzioni.
Quali sono i compiti non delegabili del consiglio?
Approvare le misure di sicurezza, sovrintenderne l'attuazione e seguire una formazione specifica.
Quanto sono alte le sanzioni?
Fino a 10 milioni di euro o 2% del fatturato mondiale per i soggetti essenziali, fino a 7 milioni o 1,4% per gli importanti.
Come dimostrare che il consiglio ha fatto la sua parte?
Con verbali di delibera, prese d'atto dei cruscotti di sicurezza e registri della formazione.