2026-11-11 - NIS2 e organi di amministrazione: approvare, sorvegliare, rispondere

---

Quarto approfondimento della

, introdotta nel

primo contributo sul metodo di lettura delle fonti

. Fonti aggiornate al 24 ottobre 2026.

«La sicurezza informatica l’abbiamo delegata al responsabile della sicurezza, che risponde all’amministratore delegato.» È una frase che si sente spesso nei consigli di amministrazione, ed è corretta sul piano organizzativo. Sul piano della disciplina NIS è incompleta: alcune attività si possono affidare a strutture interne o esterne, ma approvare, sorvegliare e rispondere restano compiti dell’organo.

La tesi di questo contributo è che l’articolo 23 del decreto NIS porta la sicurezza informatica nella responsabilità del vertice con un’ampiezza maggiore di quella della direttiva, e che il punto critico non è la delibera di approvazione, ma la possibilità di dimostrare una supervisione effettiva e continua.

Che cosa chiede la direttiva

L’articolo 20 della

direttiva (UE) 2022/2555

contiene due regole. Gli organi di gestione dei soggetti essenziali e importanti approvano le misure di gestione dei rischi adottate ai sensi dell’articolo 21, ne sovraintendono l’attuazione e possono essere ritenuti responsabili delle violazioni di quell’articolo. I membri dell’organo sono inoltre tenuti a seguire una formazione, mentre per i dipendenti la direttiva si limita a chiedere agli Stati di incoraggiarla.

Per i soli soggetti essenziali, l’articolo 32, paragrafo 6, aggiunge che le persone fisiche che li rappresentano o li controllano devono avere il potere di garantire il rispetto della direttiva e possono essere ritenute responsabili dell’inadempimento di quel dovere.

Che cosa aggiunge il decreto italiano

L’articolo 23 del

decreto legislativo 138/2024

riprende la direttiva e ne allarga il perimetro in tre punti.

.tbl-wrap{overflow-x:auto;margin:1.5rem 0}table.compare{width:100%;border-collapse:collapse;font-size:.92rem}table.compare th{background:#26215c;color:#fff;padding:.6rem .7rem;text-align:left;vertical-align:top}table.compare td{padding:.55rem .7rem;border-bottom:1px solid #ddd;vertical-align:top}table.compare tr:nth-child(even) td{background:#f4f4f8}table.compare td:first-child{font-weight:600}.tbl-note{font-size:.85rem;font-style:italic;margin-top:.4rem}@media(prefers-color-scheme:dark){table.compare td{border-bottom:1px solid #444}table.compare tr:nth-child(even) td{background:#1e1e2a}}

ProfiloDirettiva, art. 20Decreto NIS, art. 23

ApprovazioneMisure di gestione dei rischi adottate ai sensi dell'art. 21.Modalità di implementazione delle misure adottate ai sensi dell'art. 24.

SovrintendenzaAttuazione delle misure dell'art. 21.Implementazione di tutti gli obblighi del capo IV e dell'art. 7, quindi anche notifica degli incidenti, registrazione e aggiornamento delle informazioni.

ResponsabilitàViolazioni dell'art. 21.Violazioni del decreto.

FormazioneObbligatoria per i membri dell'organo; da incoraggiare per i dipendenti.Obbligatoria per gli organi; gli organi promuovono una formazione periodica coerente per i dipendenti.

InformazioneNon prevista nell'art. 20.Gli organi sono informati periodicamente o, se opportuno, tempestivamente degli incidenti e delle notifiche (c. 3).

A mio avviso, l’estensione della sovrintendenza all’articolo 7 e all’intero capo IV è la differenza più rilevante. Significa che anche la correttezza della registrazione annuale, dell’aggiornamento delle informazioni e delle notifiche ricade nella sfera di controllo dell’organo, non soltanto l’adozione delle misure tecniche. La

Determinazione ACN 314287/2026

(che dal 25 ottobre 2026 ha sostituito la Determinazione 127437/2026) lo rende esplicito: gli organi sovrintendono a registrazione, comunicazione e aggiornamento delle informazioni e rispondono delle eventuali violazioni (articolo 2, comma 3).

Chi sono gli organi di amministrazione e direttivi

FAQ dell’Agenzia sui ruoli

identificano gli organi con quelli che detengono il potere di direzione dell’organizzazione, a partire dal consiglio di amministrazione. Dove il consiglio non esiste o non svolge funzioni di indirizzo, si individua, anche dallo statuto o dalla legge istitutiva, l’organo con funzioni analoghe; il rappresentante legale vi è in ogni caso compreso. I dirigenti che non fanno parte dell’organo, il punto di contatto e il responsabile della sicurezza non sono componenti, salvo che siedano anche nel consiglio.

L’identificazione non è teorica. Con l’aggiornamento annuale il soggetto elenca i componenti degli organi come persone fisiche responsabili ai sensi dell’articolo 38, comma 5, del decreto, e ciascun componente accetta l’indicazione accedendo al portale dell’Agenzia (Determinazione 314287/2026, articoli 16 e 17). Le entità finanziarie soggette al regolamento DORA sono esentate da questa elencazione, salva l’adesione volontaria.

Che cosa si approva

Determinazione ACN 379907/2025

declina l’obbligo di approvazione nei requisiti delle misure di base. La

guida alla lettura

e la FAQ ODA.10 li raccolgono in un elenco unico: l’organizzazione per la sicurezza informatica, le politiche di sicurezza, la valutazione del rischio, il piano di trattamento del rischio, il piano di gestione delle vulnerabilità, il piano di adeguamento, i piani di continuità operativa, di ripristino in caso di disastro e di gestione delle crisi, il piano di formazione, il piano per la gestione degli incidenti.

Sul livello di dettaglio le FAQ ODA.10, ODA.11 e ODA.12, aggiornate nel luglio 2026, offrono tre chiarimenti:

i documenti approvati dall’organo devono riflettere i requisiti delle misure almeno sul piano dell’indirizzo e della pianificazione strategica, in modo da consentire all’organo di esercitare consapevolmente la propria funzione;
il dettaglio tecnico e operativo, come procedure, istruzioni e manuali, può essere affidato alle strutture competenti senza approvazione dell’organo;
l’aggiornamento di quei documenti operativi non richiede una nuova approvazione dei documenti strategici che li richiamano.

È una lettura ragionevole, che distingue l’indirizzo dalla gestione, e non chiede all’organo di conoscere il dettaglio tecnico delle procedure: per il piano di gestione degli incidenti è sufficiente l’elenco delle procedure con i relativi riferimenti. Ha però un corollario, che la stessa FAQ ODA.10 esplicita: i documenti approvati devono declinare i requisiti almeno a livello di indirizzo e pianificazione strategica, così da consentire all’organo di esercitare consapevolmente la propria funzione. Un documento che si limiti a rinviare, senza quel contenuto di indirizzo, lascia la funzione formale.

Che cosa si delega e che cosa no

Le FAQ ODA.8 e ODA.9 fissano il confine. Si può delegare lo svolgimento delle attività necessarie ad attuare gli obblighi. Non si può delegare l’approvazione dei documenti, che spetta all’organo nella sua collegialità o all’organo monocratico, né trasferire a singoli consiglieri o ad altre funzioni gli obblighi dell’articolo 23. Per le società, l’Agenzia richiama gli articoli 2381 e 2392 del codice civile sui rapporti tra consiglio e organi delegati.

La disciplina del punto di contatto segue la stessa logica. La determinazione 314287/2026 prevede che riferisca direttamente al vertice e agli organi (articolo 4, comma 5), che la sua designazione non faccia venir meno la responsabilità degli organi e delle persone fisiche (comma 6), e che in caso di avvicendamento siano gli organi a designare senza ritardo il sostituto (comma 7).

Formazione e informazione

L’obbligo di formazione degli organi trova riscontro nelle misure di base: il piano di formazione in materia di sicurezza informatica riguarda il personale, «ivi inclusi gli organi di amministrazione e direttivi», ed è approvato dagli stessi organi (misura PR.AT-01). Lo stesso requisito chiede un registro dei dipendenti formati.

L’obbligo di informazione dell’articolo 23, comma 3, si collega a due requisiti delle misure di base: le relazioni periodiche agli organi sugli esiti del piano di adeguamento (misura ID.IM-01) e le modalità di comunicazione interna, anche verso gli organi, previste dal piano per la gestione degli incidenti (misura RS.MA-01). L’informativa tempestiva su un incidente rilevante non è quindi una prassi di buon governo, ma un contenuto necessario del sistema.

La responsabilità

Il decreto disciplina la responsabilità su più piani, che riprenderò nel contributo su vigilanza e sanzioni. Qui ne fisso i termini essenziali.

Le violazioni degli obblighi dell’articolo 23 sono sanzionate in capo al soggetto con le sanzioni pecuniarie più elevate previste dal decreto (articolo 38, comma 8).
Per i soggetti essenziali, le persone fisiche responsabili o che li rappresentano devono assicurare il rispetto del decreto e possono essere ritenute responsabili dell’inadempimento (articolo 38, comma 5).
Se il soggetto non adempie a una diffida dell’Agenzia, può essere disposta nei confronti delle persone fisiche, compresi i componenti degli organi dei soggetti essenziali e importanti, la sanzione accessoria dell’incapacità a svolgere funzioni dirigenziali nel medesimo soggetto, fino all’adempimento (articolo 38, comma 6).
Per i dipendenti pubblici restano ferme le regole sulla responsabilità dirigenziale, disciplinare e amministrativo-contabile (articolo 38, comma 7).

Questione aperta. L’articolo 23, comma 1, lettera c), afferma che gli organi «sono responsabili delle violazioni di cui al presente decreto». Il decreto non ricollega a questa formula una sanzione pecuniaria personale autonoma: le sanzioni pecuniarie colpiscono il soggetto, mentre la misura accessoria personale presuppone una diffida non adempiuta. A mio avviso, la disposizione opera soprattutto come parametro di diligenza dell’organo, rilevante per la responsabilità civile verso la società e per la valutazione della condotta in sede di vigilanza; resta da vedere come l’Agenzia la utilizzerà nei procedimenti.

Le evidenze della supervisione

Le fonti indicano con chiarezza le tipologie di traccia da cui si desume l’esercizio della funzione: le deliberazioni di approvazione dei documenti indicati dalle specifiche di base, le relazioni periodiche ricevute dall’organo, l’informativa sugli incidenti e sulle notifiche, la partecipazione dei componenti alla formazione. Il dato comune è la continuità: un’approvazione isolata dimostra un atto, non una supervisione.

Considerazioni

A mio avviso, l’articolo 23 è la norma che più cambia l’equilibrio interno delle organizzazioni soggette alla disciplina. La direttiva prevede approvazione delle misure, sovrintendenza sulla loro attuazione e responsabilità per le violazioni dell’articolo 21; il decreto estende la sovrintendenza a tutti gli obblighi del capo IV e alla registrazione, e collega la responsabilità a qualunque violazione del decreto. Le FAQ di luglio 2026 hanno reso più gestibile il carico documentale, distinguendo i documenti strategici da quelli operativi, senza ridurre la sostanza dell’obbligo.

La conseguenza è che la questione non si risolve con la nomina di una figura tecnica, per quanto qualificata. Un flusso informativo strutturato tra chi gestisce la sicurezza e chi ne risponde è la condizione che consente all’organo di approvare, sorvegliare e decidere con cognizione, e di dimostrarlo; da solo non garantisce l’adempimento, che richiede anche la formazione dei componenti e decisioni documentate.

Indicazione operativa. Un errore da evitare è considerare assolto l’obbligo con un’approvazione formale dei documenti; ciò che conta è che l’organo riceva informazioni periodiche e tempestive e che dalle sue decisioni risulti un indirizzo effettivo.

Documenti di riferimento

Unione europea

Direttiva (UE) 2022/2555 (NIS2), artt. 20 e 32:

http://data.europa.eu/eli/dir/2022/2555/oj

Italia

Decreto legislativo 4 settembre 2024, n. 138, art. 23:

Normattiva

Decreto legislativo 4 settembre 2024, n. 138, art. 38:

Normattiva

Determinazione ACN 379907/2025 e allegati 1 e 2:

acn.gov.it

allegato 1

allegato 2

Determinazione ACN 314287/2026:

acn.gov.it

ACN, guida alla lettura delle specifiche di base:

acn.gov.it

ACN, FAQ su ruoli e procedure:

acn.gov.it

ACN, aggiornamento delle FAQ sugli organi di amministrazione (14 luglio 2026):

acn.gov.it

---

Questo contributo ha finalità divulgative e non costituisce consulenza legale. Il quadro è aggiornato al 24 ottobre 2026; gli assetti di governance vanno valutati in relazione alla natura giuridica e allo statuto di ciascun soggetto.

---

Nuovo su Gemini? Questa capsula si legge al meglio con un client Gemini, come Lagrange.

Lagrange - client Gemini per desktop, iOS e Android

Torna all'elenco articoli

Sezione italiana

Home