Il D.Lgs. 138/2024 impone ai gruppi d’impresa con infrastruttura IT centralizzata di formalizzare un accordo infragruppo che distribuisca gli obblighi NIS2 tra capogruppo e società controllate. Senza questo accordo, ciascun consiglio di amministrazione resta esposto in solido per le violazioni degli obblighi di cybersicurezza, indipendentemente da chi gestisce concretamente i sistemi. L’accordo regola governance, catena di fornitura, notifiche agli organi competenti e perimetro di responsabilità dei singoli CdA.
Punti chiave
- Punto 1 — Il D.Lgs. 138/2024 vincola i gruppi con IT centralizzata a dotarsi di un accordo infragruppo NIS2.
- Punto 2 — Senza accordo scritto, ogni CdA risponde autonomamente degli obblighi di sicurezza informatica del gruppo.
- Punto 3 — L’accordo deve coprire governance, supply chain, notifiche agli organi e ripartizione delle responsabilità.
Per gli studi che assistono gruppi societari strutturati, il D.Lgs. 138/2024 introduce un problema concreto di governance: quando l’infrastruttura IT è centralizzata nella capogruppo o in una società del gruppo, gli obblighi NIS2 si distribuiscono tra più soggetti giuridici distinti, ciascuno con il proprio organo amministrativo. Senza un accordo infragruppo che regoli questa ripartizione, ogni CdA è esposto a contestazioni indipendentemente dal controllo effettivo sui sistemi.
Lo strumento per governare questa complessità è l’accordo infragruppo previsto dal framework NIS2. Agenda Digitale analizza nel dettaglio come il D.Lgs. 138/2024 — recepimento italiano della Direttiva UE 2022/2555 — imponga obblighi specifici ai gruppi con IT centralizzata, individuando nell’accordo infragruppo lo strumento per regolare governance, notifiche, supply chain e responsabilità dei singoli consigli di amministrazione.
Il contesto normativo
Il D.Lgs. 138/2024 recepisce la Direttiva NIS2 (UE 2022/2555) e si applica ai soggetti essenziali e importanti individuati secondo i criteri dimensionali e settoriali degli artt. 6 e 7 del decreto. L’art. 23 del D.Lgs. 138/2024 disciplina gli obblighi di gestione del rischio e attribuisce responsabilità diretta agli organi di amministrazione, che devono approvare le misure di sicurezza e vigilarne l’attuazione. Sul piano societario interno, il combinato disposto degli artt. 2381 e 2392 c.c. in materia di deleghe e responsabilità solidale degli amministratori rende indispensabile una chiara perimetrazione contrattuale: senza un accordo infragruppo, l’amministratore di una controllata che non gestisce direttamente i sistemi IT rischia comunque di rispondere per omessa vigilanza ai sensi dell’art. 2392 c.c.
Cosa cambia per lo studio
- Mappatura preventiva degli obblighi: prima di redigere l’accordo, occorre identificare quali entità del gruppo rientrano nell’ambito soggettivo del D.Lgs. 138/2024 (soggetti essenziali o importanti) e quali restano fuori. La soglia dimensionale principale è 50 dipendenti e 10 milioni di fatturato per i soggetti importanti.
- Contenuto minimo dell’accordo infragruppo: il contratto deve disciplinare almeno quattro aree — governance della sicurezza IT, procedura di notifica degli incidenti all’ACN entro le 24 ore dalla scoperta (preavviso) e 72 ore per la notifica completa, gestione della supply chain e perimetro delle responsabilità dei singoli CdA.
- Responsabilità degli organi amministrativi: l’art. 23 D.Lgs. 138/2024 impone che il CdA approvi formalmente le misure di sicurezza. L’accordo infragruppo deve quindi prevedere flussi informativi verso ogni singolo consiglio, non solo verso la capogruppo, per evitare responsabilità per omessa vigilanza ex art. 2392 c.c.
- Clausole sulla supply chain: la NIS2 estende gli obblighi di sicurezza ai fornitori critici. L’accordo infragruppo deve coordinare le valutazioni di rischio della catena di fornitura condivisa, evitando duplicazioni o, peggio, lacune di copertura tra le diverse entità del gruppo.
- Aggiornamento dei modelli 231: i gruppi con modello organizzativo ex D.Lgs. 231/2001 devono aggiornarlo per integrare i presidi NIS2, allineando l’accordo infragruppo con le procedure già esistenti in materia di reati informatici ex art. 24-bis D.Lgs. 231/2001.
Attenzione a
Accordo generico senza attribuzione specifica dei ruoli: un accordo che si limita a richiamare gli obblighi di legge senza indicare quale entità del gruppo assume il ruolo di punto di contatto verso l’ACN e chi gestisce operativamente le notifiche non produce alcun effetto esimente. In caso di incidente, ogni CdA resterà esposto esattamente come in assenza di accordo.
Mancato coordinamento con i fornitori esterni: se la capogruppo si avvale di un fornitore IT esterno al gruppo, l’accordo infragruppo non copre automaticamente quel perimetro. Il contratto con il fornitore deve essere rivisto separatamente per inserire clausole NIS2-compliant, altrimenti la responsabilità per i rischi della supply chain rimane in capo alle singole entità senza alcuna regolazione interna.
Domande frequenti
Chi deve firmare l’accordo infragruppo NIS2 in un gruppo societario?
L’accordo deve essere sottoscritto da tutte le entità del gruppo che rientrano nell’ambito soggettivo del D.Lgs. 138/2024, ossia quelle qualificabili come soggetti essenziali o importanti. La capogruppo assume di norma il ruolo di coordinamento, ma ogni società firmataria resta titolare dei propri obblighi verso l’ACN e responsabile davanti al proprio CdA.
Entro quanto tempo bisogna notificare un incidente informatico all’ACN secondo il D.Lgs. 138/2024?
Il D.Lgs. 138/2024 prevede un preavviso entro 24 ore dalla scoperta dell’incidente significativo e una notifica completa entro 72 ore. L’accordo infragruppo deve stabilire con precisione quale entità trasmette la notifica e quali flussi informativi interni garantiscono il rispetto di questi termini da parte di tutte le società del gruppo.
L’accordo infragruppo NIS2 esonera i singoli amministratori dalla responsabilità ex art. 2392 c.c.?
No, non in modo automatico. L’accordo riduce il rischio di responsabilità solidale degli amministratori solo se prevede flussi informativi strutturati verso ogni singolo CdA e attribuisce ruoli specifici verificabili. Un accordo generico non produce effetti esimenti: in caso di omessa vigilanza, l’art. 2392 c.c. si applica comunque all’amministratore che non ha ricevuto — o non ha richiesto — le informazioni necessarie.
Fonte di riferimento: AgendaDigitale