Con il D.Lgs. 138/2024 (recepimento NIS2), gli organi di amministrazione delle imprese soggette alla direttiva rispondono personalmente della mancata adozione di misure di sicurezza informatica adeguate. Un avvocato che assiste società medio-grandi deve oggi verificare se il cliente rientra nei soggetti ‘essenziali’ o ‘importanti’ e documentare le misure di governance cyber adottate dal board. L’omessa formazione degli amministratori e la mancanza di policy approvate dal CdA espongono a sanzioni fino a 10 milioni di euro o al 2% del fatturato globale.
Punti chiave
- Il D.Lgs. 138/2024 impone agli amministratori obblighi diretti di supervisione sul rischio cyber.
- Le sanzioni NIS2 arrivano fino a 10 milioni di euro o 2% del fatturato annuo globale.
- La mancata formazione del board sulla cybersecurity è autonoma causa di responsabilità gestoria.
Chi assiste CDA, CEO o società strutturate deve aggiornare subito la propria consulenza: dal 18 ottobre 2024, con l’entrata in vigore del D.Lgs. 138/2024, gli amministratori delle entità soggette alla direttiva NIS2 non possono più delegare la gestione del rischio informatico al reparto IT e considerarsi al riparo. La responsabilità è personale, documentabile e sanzionabile. Chi non presidia questo perimetro espone il cliente — e se stesso, sul piano della consulenza — a conseguenze concrete.
Il tema emerge con forza da un’analisi pubblicata su Agenda Digitale, che ricorda come cybersecurity e governance aziendale siano ormai inscindibili: incidenti, obblighi normativi e responsabilità manageriali richiedono un approccio strutturato, documentato e continuativo da parte degli organi apicali.
Il contesto normativo
Il D.Lgs. 138/2024, attuativo della Direttiva UE 2022/2555 (NIS2), all’art. 23 stabilisce che gli organi di amministrazione delle entità essenziali e importanti approvano le misure di gestione dei rischi informatici, ne supervisionano l’attuazione e sono responsabili in caso di violazione. La norma prevede sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato annuo mondiale per le entità essenziali, e fino a 7 milioni o all’1,4% del fatturato per quelle importanti. Sul piano civilistico, la mancata adozione di misure adeguate può integrare una violazione dei doveri di diligenza gestoria ex art. 2392 c.c., con conseguente azione di responsabilità verso gli amministratori. L’ACN (Agenzia per la Cybersicurezza Nazionale) è l’autorità competente per la registrazione dei soggetti e l’irrogazione delle sanzioni.
Cosa cambia per lo studio
- Verifica preliminare del perimetro NIS2: prima di qualsiasi altra valutazione, occorre stabilire se il cliente rientra tra i soggetti essenziali o importanti secondo i criteri dimensionali e settoriali del D.Lgs. 138/2024 (es. energia, trasporti, infrastrutture digitali, PA, sanità). La registrazione presso ACN era obbligatoria entro il 28 febbraio 2025 per i soggetti già operativi.
- Revisione delle deleghe interne: il cliente deve dimostrare che il board ha formalmente approvato una policy di gestione del rischio cyber. Non basta che esista un documento tecnico dell’IT: serve una delibera del CdA che adotti e monitori le misure.
- Contratti con fornitori ICT: l’art. 24 D.Lgs. 138/2024 impone di gestire la sicurezza della catena di fornitura. I contratti con vendor tecnologici vanno aggiornati con clausole specifiche su incident notification, SLA di sicurezza e diritti di audit.
- Formazione documentata degli amministratori: la norma richiede che i componenti del board ricevano formazione adeguata in materia cyber. Verbali, attestati e programmi formativi devono essere conservati e prodotti in caso di ispezione ACN.
- Piano di risposta agli incidenti: le entità soggette devono notificare gli incidenti significativi all’ACN entro 24 ore (pre-alert) e 72 ore (notifica completa). L’avvocato deve strutturare con il cliente una procedura interna che rispetti questi termini senza improvvisazione.
Attenzione a
Il primo errore è ritenere che NIS2 riguardi solo le grandi imprese. La direttiva si applica anche alle medie imprese (oltre 50 dipendenti o 10 milioni di fatturato) in settori critici: molti clienti tipici di uno studio commerciale o societario rientrano nel perimetro senza saperlo. Un controllo di perimetro omesso oggi può tradursi in una sanzione per omessa registrazione già contestabile.
Il secondo rischio riguarda la responsabilità del consulente. Assistere un amministratore in una controversia societaria senza aver mai sollevato il tema NIS2 — quando il cliente era un soggetto obbligato — potrebbe rilevare ai fini della valutazione della diligenza professionale ex art. 2236 c.c. La cybersecurity governance è entrata stabilmente nel perimetro della consulenza legale d’impresa.
Domande frequenti
Chi sono i soggetti obbligati dalla NIS2 in Italia?
Il D.Lgs. 138/2024 individua soggetti ‘essenziali’ e ‘importanti’ in base al settore di attività (energia, trasporti, sanità, infrastrutture digitali, PA, ecc.) e alla dimensione aziendale. Rientrano generalmente le medie imprese con più di 50 dipendenti o oltre 10 milioni di fatturato nei settori elencati. La registrazione presso ACN era obbligatoria entro il 28 febbraio 2025.
Un amministratore di società può essere ritenuto personalmente responsabile per un attacco informatico?
Sì. L’art. 23 D.Lgs. 138/2024 attribuisce agli organi di amministrazione la responsabilità diretta per l’approvazione e il monitoraggio delle misure di sicurezza. Se l’amministratore non ha adottato le misure prescritte, risponde sia sul piano sanzionatorio amministrativo sia su quello civilistico ex art. 2392 c.c. per violazione dei doveri di diligenza gestoria.
Entro quanto tempo va notificato un incidente informatico all’ACN?
La normativa NIS2 recepita dal D.Lgs. 138/2024 prevede una pre-notifica all’ACN entro 24 ore dalla scoperta dell’incidente significativo, seguita da una notifica completa entro 72 ore. Il mancato rispetto di questi termini è autonomamente sanzionabile, indipendentemente dalla gravità dell’incidente subito.
Fonte di riferimento: AgendaDigitale