Per molti anni, la sicurezza informatica è stata considerata in azienda una questione “tecnica”, da delegare interamente al reparto IT o a un fornitore esterno. La NIS2 cambia questa prospettiva in modo netto: introduce, per la prima volta in modo così esplicito, una responsabilità diretta in capo a chi siede negli organi di amministrazione, non solo in capo all’azienda come soggetto giuridico. È un cambiamento che merita attenzione da parte di ogni amministratore, indipendentemente dal fatto che si occupi personalmente di informatica.
Perché la NIS2 introduce una responsabilità diretta per il CdA
L’impostazione della NIS2 parte da un principio semplice: la gestione del rischio informatico non può essere considerata un tema puramente operativo, delegabile senza alcun controllo, perché le conseguenze di un incidente grave (interruzione dell’attività, perdita di dati, danni a clienti e fornitori, danni reputazionali) ricadono sull’intera organizzazione e sulle sue scelte strategiche. Per questo la normativa chiede esplicitamente che gli organi di amministrazione e direzione approvino le misure di gestione del rischio adottate dall’azienda, ne supervisionino l’attuazione, e possano essere chiamati a risponderne in prima persona in caso di violazioni gravi degli obblighi previsti.
Questo non significa che ogni amministratore debba diventare un esperto di sicurezza informatica. Significa che l’approvazione e la supervisione delle misure di cybersecurity smettono di essere un’attività delegabile “a scatola chiusa”: diventano una responsabilità di governance, alla pari di altre materie (bilancio, compliance, sicurezza sul lavoro) in cui il vertice aziendale è tenuto a un ruolo attivo di indirizzo e controllo.
Cosa deve poter dimostrare un amministratore in caso di controllo o incidente
In caso di ispezione da parte dell’autorità competente, o a seguito di un incidente di sicurezza significativo, non basta più poter dire “ce ne occupa l’IT”. Un amministratore dovrebbe essere in grado di documentare, con un livello di dettaglio ragionevole:
- di aver ricevuto informazioni periodiche sullo stato della sicurezza informatica dell’azienda, non genericamente ma con contenuti verificabili;
- di aver formalmente approvato, in occasione di un consiglio di amministrazione o di un atto equivalente, le misure di gestione del rischio adottate;
- di aver seguito una formazione minima in materia di gestione del rischio informatico, come previsto dalla normativa per i membri degli organi di amministrazione;
- di aver richiesto e ricevuto aggiornamenti in caso di incidenti rilevanti o di cambiamenti significativi nel livello di esposizione al rischio dell’azienda.
L’assenza di questa documentazione non significa automaticamente una responsabilità personale accertata, ma rende molto più difficile, in caso di controllo, dimostrare di aver esercitato correttamente il proprio ruolo di supervisione.
La differenza tra “aver delegato l’IT” e “aver supervisionato le misure di sicurezza”
È qui che si gioca la parte più delicata del tema. Delegare le attività operative di sicurezza informatica a un reparto interno o a un fornitore esterno è normale, corretto, e per una PMI spesso l’unica soluzione praticabile: nessuno si aspetta che un amministratore configuri personalmente un firewall. Il punto critico è un altro: la delega operativa non equivale, di per sé, ad aver assolto agli obblighi di governance previsti dalla normativa.
Un amministratore che si limita a “sapere che c’è qualcuno che se ne occupa”, senza mai ricevere un report, senza mai approvare formalmente nulla, senza mai porsi la domanda su cosa succederebbe in caso di incidente, si trova in una posizione debole se dovesse essere chiamato a rispondere di una violazione. Al contrario, un amministratore che riceve periodicamente un quadro sintetico ma chiaro della situazione, che approva formalmente le scelte principali e che può mostrare una traccia documentale di questo percorso, si trova in una posizione molto più solida, anche qualora l’incidente si sia comunque verificato: la normativa non pretende l’infallibilità, ma una gestione diligente e documentata del rischio.
Le azioni minime che un amministratore dovrebbe poter documentare da subito
Anche senza attendere un adeguamento completo alla NIS2, ci sono alcune azioni che ogni amministratore può iniziare a mettere in pratica fin da ora, a tutela propria e dell’azienda:
- richiedere un report periodico, anche sintetico, sullo stato della sicurezza informatica aziendale;
- far verbalizzare in consiglio di amministrazione (o nell’atto equivalente per la propria forma societaria) l’approvazione delle principali misure di gestione del rischio adottate;
- verificare che esista una procedura, per quanto essenziale, di risposta agli incidenti, e sapere a chi rivolgersi in caso di emergenza;
- pianificare una formazione, anche breve, sui concetti base di gestione del rischio informatico rivolta ai membri dell’organo di amministrazione.
Come un check-up esterno mette l’amministratore al riparo con una tracciabilità formale
Uno degli elementi più utili per un amministratore che vuole tutelarsi è disporre di una valutazione esterna, indipendente e documentata, del livello di sicurezza informatica dell’azienda. Un check-up realizzato da un soggetto esterno specializzato produce un output scritto, con una data certa, che testimonia in modo oggettivo che il vertice aziendale ha attivamente cercato di comprendere e affrontare il tema, invece di ignorarlo. Questo tipo di documentazione non sostituisce un percorso di adeguamento completo, ma rappresenta un primo passo concreto e verificabile, utile sia in ottica di conformità sia come elemento a difesa dell’operato dell’amministratore in caso di contestazioni.
Il check-up gratuito NIS2 di Defendia, disponibile su defendia.pro/nis2, è pensato proprio per fornire un primo quadro chiaro della situazione aziendale, che l’amministratore può portare in consiglio come punto di partenza per le decisioni successive.
Domande frequenti
L’amministratore risponde anche se l’attacco arriva da un fornitore esterno?
La responsabilità dell’amministratore, nell’impostazione della NIS2, riguarda principalmente l’aver approvato e supervisionato adeguate misure di gestione del rischio, incluso il rischio legato alla catena di fornitura (supply chain), che la normativa individua esplicitamente come un ambito da presidiare. Questo significa che la provenienza esterna dell’attacco non esclude automaticamente una possibile responsabilità, se emerge che l’azienda non aveva adottato misure ragionevoli di verifica e gestione del rischio legato ai propri fornitori. È un ulteriore motivo per cui vale la pena occuparsi anche della sicurezza lungo la filiera, tema che approfondiamo in un altro articolo di questo blog.
Serve una delega scritta di funzioni in materia di cybersecurity?
Una delega formale di funzioni specifiche in materia di sicurezza informatica, dove prevista e correttamente redatta, può essere uno strumento utile per chiarire ruoli e responsabilità interne, ma non esonera di per sé l’organo di amministrazione dal proprio dovere di approvazione e supervisione generale delle misure di gestione del rischio, che la normativa attribuisce specificamente al vertice aziendale. La forma e la validità di eventuali deleghe in questa materia meritano comunque una valutazione legale specifica, caso per caso, in base alla struttura societaria dell’azienda.
Non sai se la tua azienda rientra negli obblighi NIS2?
Richiedi un check-up gratuito e senza impegno: in pochi minuti avrai un quadro chiaro della tua posizione rispetto alla normativa.
