La cybersicurezza riguarda solo i sistemi informatici?
Quando si parla di cybersicurezza, automaticamente si pensa alla sfera informatica, al reparto IT o alla protezione delle reti.
Sebbene sia, in parte, una connessione giustificata, ad oggi, questa combinazione appare incompleta considerato che con la disciplina NIS2, il rischio cyber entra infatti in modo molto più netto nel perimetro della governance aziendale.
Non ci si riferisce, di fatto, soltanto a chi gestisce tecnicamente i sistemi, ma anche chi prende le decisioni, assegna risorse, approva strategie e controlla il funzionamento dell’organizzazione.
Proprio su questo punto, l’ACN, l’Agenzia per la Cybersicurezza Nazionale è, recentemente, intervenuta aggiornando le FAQ dedicate agli obblighi degli organi di amministrazione e direttivi.
Prima di tutto: che cos’è la NIS2?
La NIS2 è la Direttiva europea n. 2022/2555, adottata per innalzare il livello di cybersicurezza nell’Unione europea.
In Italia, è stata recepita con il D. Lgs. 4 settembre 2024, n. 138, che individua determinati soggetti “essenziali” e “importanti” operanti in settori ritenuti particolarmente rilevanti, imponendo loro obblighi specifici in materia di gestione del rischio informatico, governance e notifica degli incidenti. La NIS2 non considera più la cybersicurezza come una questione puramente tecnica.
L’articolo 23 del Decreto attribuisce, infatti, precise responsabilità agli organi di amministrazione e agli organi direttivi.
In termini molto concreti, questi devono approvare le modalità con cui vengono implementate le misure di gestione dei rischi informatici, sovrintendere all’attuazione degli obblighi previsti dalla normativa e rispondere delle relative violazioni.
La normativa prevede, inoltre, che gli stessi organi seguano una formazione in materia di sicurezza informatica e promuovano una formazione periodica anche all’interno dell’organizzazione.
Il chiarimento dell’ACN: strategia e operatività non sono la stessa cosa
Le nuove FAQ dell’ACN aiutano soprattutto a rispondere a una domanda che, nelle imprese soggette alla NIS2, è tutt’altro che teorica:
Il consiglio di amministrazione deve approvare qualsiasi documento che riguardi la cybersicurezza?
La risposta è no.
L’ACN distingue chiaramente tra il livello strategico e quello tecnico-operativo.
I documenti che definiscono gli indirizzi e la pianificazione strategica delle misure di sicurezza devono essere approvati dall’organo di amministrazione. Questa competenza appartiene al vertice e non può essere delegata.
Diverso è il caso di procedure tecniche, istruzioni operative e manuali utilizzati quotidianamente dalle strutture aziendali: la loro predisposizione e il loro aggiornamento possono essere affidati alle funzioni competenti senza che sia necessario riportare ogni modifica all’approvazione del consiglio di amministrazione.
È una distinzione importante perché evita due errori opposti:
- da un lato, pensare che il vertice possa semplicemente affidare la cybersecurity all’IT e considerare chiusa la questione;
- dall’altro, trasformare ogni aggiornamento tecnico in un passaggio formale davanti al consiglio di amministrazione.
Cosa non può essere delegato
L’operatività può, pertanto, essere affidata alle strutture competenti mentre la responsabilità di indirizzorimane al vertice.
Qui la NIS2 cambia prospettiva. L’organo di amministrazione non deve necessariamente conoscere i dettagli tecnici delle procedure ma deve essere, tuttavia, in grado di comprendere il rischio, approvare l’impostazione strategica delle misure adottate e verificare che il sistema sia effettivamente presidiato.
La documentazione può essere più semplice di quanto si pensi
Le FAQ ACN chiariscono anche un altro aspetto utile. Non esiste necessariamente l’obbligo di concentrare tutti gli indirizzi di cybersicurezza in un unico grande documento. Il soggetto NIS può organizzare la propria documentazione nel modo più coerente con la propria struttura: attraverso un documento unitario oppure mediante più documenti coordinati tra loro.
Inoltre, l’aggiornamento di una procedura tecnica richiamata nella documentazione strategica non comporta automaticamente la necessità di sottoporre nuovamente quest’ultima all’approvazione del vertice.
Perché questo tema riguarda l’imprenditore
Il passaggio forse più interessante della NIS2 è proprio questo: la cybersicurezza diventa una questione di organizzazione dell’impresa.
Un incidente informatico non è più letto soltanto come un problema tecnico perché è potenzialmente in grado di interrompere la produzione, compromettere dati, bloccare servizi, incidere sui rapporti con clienti e fornitori, generare responsabilità e mettere in discussione la continuità aziendale. Per tale ragione, il legislatore porta il tema fino al vertice.
Una verifica utile da fare anche ad agosto
Per le imprese che rientrano nel perimetro NIS2 può, quindi, essere utile verificare almeno tre aspetti:
- se gli organi di amministrazione hanno effettivamente assunto il proprio ruolo nella governance cyber;
- se esiste una distinzione chiara tra decisioni strategiche e attività operative;
- se le responsabilità, le approvazioni e i flussi informativi sono adeguatamente formalizzati e documentabili.
Il rischio informatico, ad oggi, rientra a piano titolo nel rischio di impresa: la tua azienda è pronta per gestirlo?
Fissa una consulenza con il Dipartimento IT di Vocati, trasforma il rischio in un’opportunità.
Avv. Fabio Sava
Responsabile Dipartimento IT, IP e Data Protection
Articoli correlati
6 Luglio 2026
