Con l’aggiornamento delle FAQ ACN sulla NIS 2, gli organi di vertice degli enti soggetti alla direttiva rischiano responsabilità personale diretta per la mancata adozione delle misure di sicurezza informatica. Gli avvocati che assistono CDA, amministratori delegati e direttori generali di soggetti essenziali o importanti devono rivedere le deleghe interne e i presidi di governance. La compliance NIS 2 non è più solo un adempimento tecnico: diventa un tema di responsabilità civile e amministrativa dei vertici aziendali.
Punti chiave
- Punto 1 — Gli organi di vertice rispondono personalmente per omessa supervisione sulle misure NIS 2.
- Punto 2 — Le FAQ ACN chiariscono che la delega tecnica non esonera il vertice dalla responsabilità finale.
- Punto 3 — Gli avvocati devono aggiornare i modelli di governance e le delibere dei CDA dei clienti soggetti NIS 2.
Se assisti società o enti rientranti nell’ambito applicativo della direttiva NIS 2, devi sapere che la responsabilità per inadempimenti in materia di cybersicurezza non si ferma al CISO o al reparto IT. L’ACN ha aggiornato le proprie FAQ chiarendo che gli organi di vertice — consigli di amministrazione, amministratori delegati, direttori generali — sono destinatari diretti degli obblighi di supervisione e possono rispondere personalmente in caso di violazione.
ACN (Agenzia per la Cybersicurezza Nazionale) ha pubblicato una versione aggiornata delle FAQ relative all’attuazione della direttiva NIS 2 in Italia, con focus specifico sulle responsabilità degli organi di vertice degli enti soggetti. La notizia è riportata da Diritto.it.
Il contesto normativo
La direttiva (UE) 2022/2555 (NIS 2), recepita in Italia con il d.lgs. 4 settembre 2024, n. 138, dedica l’art. 20 specificamente alla governance della cybersicurezza. La norma impone agli organi di amministrazione e agli organi direttivi dei soggetti essenziali e importanti di approvare le misure di gestione dei rischi informatici e di seguire una formazione specifica. Soprattutto, stabilisce che quegli stessi organi rispondono delle violazioni commesse dall’ente in materia di sicurezza delle reti e dei sistemi informativi. Sul piano sanzionatorio, l’art. 38 del d.lgs. 138/2024 prevede sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali, con possibilità di misure accessorie che incidono direttamente sulle persone fisiche apicali, inclusa la sospensione temporanea dall’incarico.
Cosa cambia per lo studio
- Revisione delle deleghe interne: una delega generica alle funzioni IT non basta più. L’organo di vertice deve dimostrare di aver approvato formalmente le misure di sicurezza e di averne monitorato l’attuazione. Serve una delibera ad hoc con contenuto minimo tracciabile.
- Formazione documentata dei vertici: l’art. 20 NIS 2 richiede che gli organi direttivi seguano una formazione specifica sulla cybersicurezza. Assenza di formazione documentata diventa un elemento di responsabilità autonomo in sede sanzionatoria.
- Aggiornamento dei modelli organizzativi: per i clienti che hanno adottato un modello ex d.lgs. 231/2001, occorre verificare se il catalogo dei reati presupposto e i protocolli di prevenzione coprono già gli scenari NIS 2 o vanno integrati.
- Contratti con fornitori e terze parti: le FAQ ACN ribadiscono che la responsabilità del vertice include la supervisione sulla supply chain digitale. I contratti con fornitori IT vanno riveduti per includere clausole di sicurezza conformi all’art. 21 NIS 2.
- Mappatura dei soggetti obbligati: molti clienti ancora non sanno se rientrano tra i soggetti essenziali o importanti. La registrazione sulla piattaforma ACN è scaduta il 28 febbraio 2025: chi non si è registrato è già inadempiente.
Attenzione a
Il rischio principale è trattare la NIS 2 come un adempimento esclusivamente tecnico, scaricandolo sull’IT manager senza coinvolgere il CDA. Le FAQ ACN sgombrano ogni dubbio: la supervisione è obbligo degli organi di vertice, non una facoltà delegabile in toto. In caso di incidente informatico grave, ACN può avviare un procedimento sanzionatorio che coinvolge direttamente le persone fisiche apicali, con possibile sospensione dall’incarico — misura che nessuna polizza D&O copre automaticamente.
Attenzione anche alla stratificazione normativa: la NIS 2 si sovrappone al GDPR per gli incidenti che comportano violazione di dati personali. Un unico evento può generare procedimenti paralleli davanti ad ACN e al Garante Privacy, con duplicazione delle sanzioni e delle responsabilità personali. Tenere i due binari separati nella consulenza è un errore frequente che espone sia il cliente che il professionista.
Domande frequenti
Chi risponde personalmente per violazioni NIS 2 in una società?
Ai sensi dell’art. 20 del d.lgs. 138/2024, rispondono gli organi di amministrazione e gli organi direttivi del soggetto essenziale o importante. La responsabilità è personale e non si trasferisce per delega all’IT manager o al CISO. ACN può irrogare misure accessorie, inclusa la sospensione temporanea dall’incarico, direttamente in capo alle persone fisiche apicali.
La NIS 2 si applica anche alle PMI italiane?
La NIS 2 si applica ai soggetti che superano le soglie di medie imprese (50 dipendenti, 10 milioni di fatturato) in settori specifici elencati negli allegati del d.lgs. 138/2024, oppure a soggetti di dimensioni inferiori se operano in settori critici o sono fornitori di servizi essenziali. La mappatura va fatta caso per caso: la sola dimensione non è criterio esclusivo.
Cosa rischia un amministratore se l’ente non si è registrato su ACN entro febbraio 2025?
La mancata registrazione sulla piattaforma ACN entro il 28 febbraio 2025 configura un inadempimento agli obblighi NIS 2. L’art. 38 del d.lgs. 138/2024 prevede sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali. La responsabilità ricade sull’organo di vertice che non ha attivato il processo di adeguamento.
Fonte di riferimento: Diritto.it