NIS2 e responsabilità degli organi di vertice: cosa cambia per le PMI
Il 14 luglio 2026 l’Agenzia per la cybersicurezza nazionale ha aggiornato le FAQ ODA.8 e ODA.9 e introdotto le nuove FAQ ODA.10, ODA.11 e ODA.12, dedicate agli obblighi degli organi di amministrazione e direttivi dei soggetti NIS. I chiarimenti riguardano, in particolare, i documenti che devono essere approvati dal vertice, la possibilità di organizzarli in modo più semplice e il confine tra attività delegabili e responsabilità non trasferibili.
È opportuno precisare che la disciplina non si applica indistintamente a tutte le piccole e medie imprese, ma soltanto a quelle che rientrano nell’ambito di applicazione del decreto legislativo 4 settembre 2024, n. 138, in quanto soggetti essenziali o importanti.
La cybersicurezza è una responsabilità di governance
L’articolo 20 della direttiva (UE) 2022/2555 richiede agli organi di gestione di approvare le misure di gestione dei rischi di cibersicurezza e di sovrintendere alla loro attuazione. In Italia, l’articolo 23 del d.lgs. n. 138/2024 attribuisce agli organi di amministrazione e direttivi il compito di:
- approvare le modalità di implementazione delle misure di gestione del rischio;
- sovrintendere all’attuazione degli obblighi previsti dal decreto;
- rispondere delle relative violazioni;
- seguire una formazione in materia di sicurezza informatica;
- ricevere informazioni periodiche o, quando necessario, tempestive sugli incidenti e sulle notifiche.
La norma richiede che amministratori e dirigenti siano in grado di comprendere i principali rischi, assumere decisioni consapevoli e verificare che l’impresa disponga di risorse, responsabilità e controlli adeguati.
Quali documenti devono essere approvati
La FAQ ODA.10 rinvia all’Appendice C della Guida ACN e individua i contenuti che devono essere sottoposti all’approvazione degli organi di amministrazione e direttivi.
Per una PMI, i contenuti possono essere ricondotti a cinque aree principali:
- organizzazione e politiche di sicurezza informatica;
- valutazione e trattamento dei rischi, gestione delle vulnerabilità e piano di adeguamento;
- continuità operativa, ripristino in caso di disastro e gestione delle crisi;
- formazione;
- gestione degli incidenti di sicurezza informatica.
I documenti sottoposti agli organi di vertice devono rappresentare con sufficiente concretezza le scelte strategiche dell’impresa: perimetro di applicazione, priorità, responsabilità, risorse, tempi di attuazione, modalità di controllo e principali rischi residui.
Un sistema documentale proporzionato alla dimensione aziendale
Le FAQ ODA.11 e ODA.12 consentono di raccogliere i contenuti richiesti in un unico documento oppure in più documenti coordinati. Per le PMI si tratta di un chiarimento importante: non è necessario moltiplicare policy, piani e procedure quando la stessa esigenza può essere soddisfatta attraverso un impianto più semplice, purché completo, coerente e aggiornato.
Procedure tecniche, istruzioni operative e documenti di dettaglio possono essere predisposti e aggiornati dalle funzioni competenti senza essere ogni volta sottoposti all’approvazione dell’organo amministrativo, e il loro aggiornamento non comporta automaticamente la riapprovazione dei documenti strategici ai quali sono collegati.
È comunque opportuno prevedere un meccanismo di escalation: quando una modifica tecnica incide sulle priorità aziendali, sulle risorse, sui livelli di servizio o sul rischio residuo accettato, la questione dovrebbe essere nuovamente sottoposta al vertice.
Delega operativa e responsabilità dell’organo di vertice
Le funzioni tecniche, interne o esterne, possono predisporre i documenti, attuare le misure, aggiornare le procedure e fornire report periodici. Non può invece essere trasferita alle strutture operative l’approvazione riservata dalla disciplina agli organi di amministrazione e direttivi.
Anche le deleghe societarie devono essere coordinate con questo principio. Gli articoli 2381 e 2392 del Codice civile continuano a rilevare ai fini della distribuzione degli incarichi, dei flussi informativi e della valutazione delle condotte degli amministratori, ma non eliminano gli obblighi che l’articolo 23 del decreto NIS attribuisce direttamente agli organi competenti.
Cosa devono fare le PMI interessate
Riassumendo, le imprese interessate devono:
- verificare quali documenti richiedono l’approvazione del vertice e quali possono restare a livello operativo;
- individuare chiaramente responsabili, deleghe e flussi informativi;
- programmare report periodici su rischi, incidenti, vulnerabilità e stato degli interventi;
- documentare le decisioni mediante delibere, verbali e adeguate evidenze;
- assicurare la formazione degli amministratori e delle figure direttive.
L’ACN ha in sostanza ribadito da un lato che l’organizzazione documentale può essere proporzionata alle dimensioni e alla complessità dell’impresa, ma la cybersicurezza deve restare una responsabilità effettiva degli organi di vertice, e dall’altro che la semplificazione non consiste nel ridurre i presidi, bensì nel distinguere meglio chi decide, chi attua e chi controlla.
0444.232210
- Creato il .