Sotto il d.lgs. 138/2024 (recepimento NIS2), il Consiglio di Amministrazione delle entità soggette non può liberarsi degli obblighi di cybersicurezza semplicemente delegando tutto al CISO o a un responsabile IT. L’ACN ha chiarito nelle proprie FAQ che l’approvazione delle modalità di implementazione delle misure di gestione del rischio cyber rimane in capo all’organo amministrativo in quanto tale. Chi assiste società rientranti nel perimetro NIS2 deve verificare che i verbali del CdA documentino questa approvazione, pena responsabilità diretta degli amministratori.
Punti chiave
- Punto 1 — Il CdA non può delegare integralmente la cybersicurezza: l’approvazione delle misure di gestione del rischio resta in capo all’organo collegiale.
- Punto 2 — Le FAQ ACN distinguono attività delegabili in fase operativa da obblighi non delegabili che richiedono delibera formale del board.
- Punto 3 — Gli amministratori di entità NIS2 rischiano responsabilità personale se i verbali non tracciano l’esercizio diretto di questi obblighi.
Se assisti una società rientrante nel perimetro NIS2 — soggetti essenziali o importanti ai sensi del d.lgs. 138/2024 — devi sapere che il Consiglio di Amministrazione non può costruire una schermatura completa dietro la delega al management tecnico. L’ACN ha pubblicato FAQ specifiche sugli obblighi degli organi amministrativi che ridisegnano il perimetro di ciò che il board deve fare in prima persona e ciò che può affidare ad altri.
Le FAQ dell’Agenzia per la Cybersicurezza Nazionale chiariscono che l’organo amministrativo mantiene obblighi non delegabili in materia di approvazione delle modalità di implementazione delle misure di gestione dei rischi cyber. La notizia è riportata e analizzata da Agenda Digitale.
Il contesto normativo
Il d.lgs. 138/2024, che recepisce la Direttiva UE 2022/2555 (NIS2), all’art. 23 impone agli organi di amministrazione delle entità soggette di approvare le misure di gestione dei rischi di cybersicurezza e di supervisionarne l’attuazione. La norma attribuisce responsabilità dirette agli amministratori, non alla società come entità astratta. Sul piano civilistico, il richiamo all’art. 2381 c.c. è immediato: la delega di funzioni gestorie non esonera il delegante dall’obbligo di vigilanza, e la Cassazione Civile ha ribadito più volte — da ultimo con orientamenti consolidati in materia di responsabilità degli amministratori non esecutivi — che la conoscenza di informazioni rilevanti per la gestione del rischio impone un dovere di intervento attivo.
Cosa cambia per lo studio
- Nei pareri a società clienti rientranti nel perimetro NIS2, occorre distinguere con precisione quali attività cyber il CdA può delegare (es. implementazione tecnica operativa, monitoraggio quotidiano) da quelle che richiedono delibera formale del board (approvazione del framework di gestione del rischio e delle modalità di implementazione delle misure).
- I verbali del CdA devono documentare l’avvenuta approvazione delle misure di gestione del rischio cyber: un verbale generico che si limita a «prendere atto» dell’attività del CISO non è sufficiente a dimostrare l’adempimento dell’obbligo non delegabile.
- Negli statuti e nei regolamenti consiliari dei clienti soggetti a NIS2, è opportuno inserire una clausola che assegni espressamente all’ordine del giorno periodico del CdA la revisione e approvazione delle politiche di cybersicurezza.
- In caso di procedura sanzionatoria ACN, la difesa degli amministratori dipenderà in larga parte dalla tracciabilità documentale dell’esercizio degli obblighi non delegabili: inizia a raccogliere questa documentazione già in fase preventiva, non dopo l’ispezione.
- Per i clienti con struttura a doppio livello (CdA + collegio sindacale), i sindaci hanno a loro volta obblighi di vigilanza sull’adempimento NIS2 da parte degli amministratori: un tema che apre scenari di responsabilità solidale da presidiare con attenzione.
Attenzione a
Il rischio più frequente è confondere la delega operativa con l’esonero dalla responsabilità di approvazione. Molti clienti strutturano la governance cyber attorno al CISO o a un comitato tecnico e ritengono che questo esaurisca gli obblighi del board. La FAQ ACN smonta questa impostazione: la delega è ammessa per le attività di attuazione, ma l’approvazione delle modalità rimane un atto del CdA che deve risultare da delibera tracciabile.
Attenzione anche ai tempi: il d.lgs. 138/2024 prevede che le entità già registrate completino gli adempimenti secondo le scadenze fissate dall’ACN. Un CdA che non ha ancora formalizzato il proprio framework di approvazione delle misure cyber è già esposto a contestazioni, indipendentemente dal livello di maturità tecnica dell’organizzazione.
Domande frequenti
Cosa non può delegare il CdA sotto la NIS2?
Secondo le FAQ ACN, l’approvazione delle modalità di implementazione delle misure di gestione dei rischi cyber è un obbligo non delegabile del Consiglio di Amministrazione. Il board può affidare l’attuazione operativa a figure tecniche come il CISO, ma deve approvare formalmente il framework e le scelte di gestione del rischio con delibera tracciabile nel verbale.
Gli amministratori rischiano responsabilità personale per violazioni NIS2?
Sì. Il d.lgs. 138/2024, art. 23, attribuisce obblighi direttamente agli organi di amministrazione. In caso di violazione, l’ACN può avviare procedimenti sanzionatori che coinvolgono gli amministratori in prima persona. Sul piano civilistico, l’art. 2381 c.c. non consente di scaricare la responsabilità sul delegato se il delegante non ha esercitato il dovere di vigilanza e approvazione.
Come si documenta l’adempimento NIS2 del CdA per evitare sanzioni?
I verbali del CdA devono contenere una delibera esplicita di approvazione delle misure di gestione del rischio cyber, non una semplice presa d’atto. È consigliabile inserire una voce periodica nell’ordine del giorno consiliare dedicata alla cybersicurezza e conservare tutta la documentazione di supporto presentata al board prima della delibera, in modo da dimostrare un processo decisionale informato.
Fonte di riferimento: AgendaDigitale