La direttiva NIS2, recepita in Italia con il d.lgs. 138/2024, estende gli obblighi di sicurezza informatica anche ai sistemi ERP aziendali, rendendoli oggetto di responsabilità diretta del board. Gli avvocati che assistono imprese nei settori critici devono verificare se il cliente rientra nel perimetro soggettivo e quali misure tecniche e organizzative risultano documentate. La mancata adozione di controlli strutturati espone l’organo amministrativo a sanzioni fino a 10 milioni di euro o al 2% del fatturato globale.
Punti chiave
- Punto 1 — Il d.lgs. 138/2024 recepisce NIS2 e impone obblighi di sicurezza ERP con responsabilità del CdA.
- Punto 2 — Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato annuo globale.
- Punto 3 — La supply chain digitale è inclusa nel perimetro di rischio: i fornitori ERP vanno contrattualizzati con SLA specifici.
Se assisti imprese manifatturiere, utilities, fornitori di servizi digitali o operatori sanitari, la questione non è più solo tecnica: dal 18 ottobre 2024, con l’entrata in vigore del d.lgs. 138/2024, la sicurezza dei sistemi ERP è diventata un obbligo di governance verificabile dall’ACN (Agenzia per la Cybersicurezza Nazionale) e sanzionabile sull’organo amministrativo. Il tuo cliente ha già mappato i propri sistemi critici? Ha documentato le misure adottate?
Un’analisi pubblicata da Agenda Digitale ricostruisce come la direttiva NIS2 trasformi la continuità operativa degli ERP in una responsabilità di board, con implicazioni su cloud, sovranità digitale e gestione della supply chain tecnologica.
Il contesto normativo
Il d.lgs. 138/2024 attua la direttiva UE 2022/2555 (NIS2) e individua due categorie di soggetti: «essenziali» e «importanti», con soglie dimensionali e settoriali precise (art. 3). Per entrambe le categorie, l’art. 24 impone misure di gestione del rischio informatico proporzionate, tra cui la sicurezza della supply chain, la continuità operativa e la crittografia. L’art. 38 stabilisce che gli organi di amministrazione approvano le misure adottate e rispondono personalmente della loro attuazione. Le sanzioni, previste all’art. 40, arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali, e fino a 7 milioni o all’1,4% per i soggetti importanti. L’ACN è l’autorità competente per l’applicazione e la vigilanza sul territorio italiano.
Cosa cambia per lo studio
- Verifica del perimetro soggettivo del cliente. Prima di ogni altra valutazione, controlla se l’impresa rientra nelle categorie di cui all’art. 3 d.lgs. 138/2024: settori ad alta criticità (energia, trasporti, sanità, infrastrutture digitali) o settori critici (servizi postali, rifiuti, alimentare, manifattura avanzata). La soglia generale è 50 dipendenti o 10 milioni di fatturato.
- Contratti con i fornitori ERP e cloud. I contratti di fornitura software e servizi cloud vanno aggiornati con clausole che impongano SLA di disponibilità, notifica degli incidenti entro 24 ore e audit rights. Un contratto standard senza queste previsioni non soddisfa l’art. 24, co. 2, lett. d), NIS2.
- Documentazione delle misure tecniche e organizzative. L’ACN può richiedere evidenza scritta delle misure adottate. Il cliente deve produrre risk assessment aggiornati, piani di continuità operativa (BCP) e policy di backup verificabili. Assisti nella redazione o revisione di questi documenti prima che arrivi un’ispezione.
- Responsabilità degli amministratori. L’art. 38 d.lgs. 138/2024 introduce una responsabilità personale dei membri del CdA per omessa approvazione o supervisione delle misure. Questo apre spazio a azioni di responsabilità ex artt. 2392-2393 c.c. nei confronti degli amministratori inadempienti.
- Notifica degli incidenti. Il cliente ha 24 ore per la notifica preliminare all’ACN in caso di incidente significativo (art. 30 d.lgs. 138/2024). Predisponi con il cliente una procedura interna scritta che includa il coinvolgimento immediato del legale.
Attenzione a
Non confondere NIS2 con GDPR. I due regimi si sovrappongono ma non coincidono: un incidente che colpisce un ERP può generare sia un obbligo di notifica ACN (entro 24 ore) sia un obbligo di notifica al Garante Privacy (entro 72 ore ex art. 33 GDPR). Gestirli separatamente senza coordinamento espone il cliente a doppio rischio sanzionatorio.
Attenzione alla clausola di esclusione della responsabilità nei contratti ERP. Molti contratti con vendor internazionali (SAP, Oracle, Microsoft) prevedono limitazioni di responsabilità per interruzioni di servizio. Queste clausole potrebbero non reggere se l’interruzione causa una violazione NIS2 documentata: verifica la compatibilità con il nuovo quadro normativo prima di rinnovare i contratti in essere.
Domande frequenti
Quali aziende sono soggette al d.lgs. 138/2024 su NIS2 in Italia?
Rientrano nel perimetro i soggetti con almeno 50 dipendenti o 10 milioni di fatturato annuo che operano nei settori elencati agli allegati I e II del d.lgs. 138/2024: energia, trasporti, sanità, infrastrutture digitali, servizi bancari, manifattura avanzata e altri. L’ACN gestisce il registro dei soggetti obbligati e la procedura di auto-registrazione.
Chi risponde personalmente in caso di violazione NIS2 in una società?
L’art. 38 d.lgs. 138/2024 attribuisce responsabilità diretta agli organi di amministrazione per l’approvazione e la supervisione delle misure di sicurezza informatica. In caso di sanzione o danno, gli amministratori possono essere esposti ad azioni di responsabilità ex artt. 2392-2393 c.c. da parte della società o dei soci.
Entro quanto tempo va notificato un incidente informatico su un sistema ERP all’ACN?
L’art. 30 d.lgs. 138/2024 prevede una notifica preliminare all’ACN entro 24 ore dalla rilevazione dell’incidente significativo, una notifica intermedia entro 72 ore e un report finale entro un mese. Se l’incidente coinvolge dati personali, va notificato anche al Garante Privacy entro 72 ore ai sensi dell’art. 33 GDPR.
Fonte di riferimento: AgendaDigitale