NIS2 e amministratori: responsabilità e formazione del management

Per anni la sicurezza informatica è stata considerata una questione tecnica, da lasciare all'ufficio IT o al fornitore di fiducia. La NIS2 cambia questa impostazione in modo netto: la responsabilità sale ai vertici. Amministratori, consiglio di amministrazione e titolari devono approvare le misure, seguirne l'attuazione e conoscere abbastanza la materia da prendere decisioni informate.

Cosa prevede la norma

La Direttiva (UE) 2022/2555 e il D.Lgs. 138/2024, che la recepisce in Italia, attribuiscono agli organi di amministrazione e direttivi dei soggetti essenziali e importanti tre compiti principali:

• approvare le modalità di attuazione delle misure di gestione dei rischi per la sicurezza informatica;
• sovrintendere alla loro attuazione;
• rispondere delle violazioni degli obblighi da parte dell'organizzazione.

A questi si aggiunge un obbligo specifico di formazione: i componenti degli organi di amministrazione devono seguire una formazione in materia di cybersicurezza, e l'organizzazione è incoraggiata a offrire periodicamente una formazione analoga anche ai dipendenti.

Le indicazioni di dettaglio sulle modalità sono definite dall'ACN e possono essere aggiornate: è opportuno verificarle sul sito dell'Agenzia o con un consulente.

Perché la responsabilità sale al vertice

La scelta del legislatore ha una logica precisa. Le decisioni che determinano davvero il livello di sicurezza di un'azienda non sono tecniche ma di indirizzo: quanto budget destinare, quali rischi accettare, quali progetti mettere in priorità, quanto tempo concedere alla formazione del personale, quali fornitori scegliere.

Se chi decide non comprende i rischi, le misure restano parziali o vengono sacrificate alla prima urgenza operativa. Rendere il management responsabile serve a portare la sicurezza nelle decisioni ordinarie dell'impresa.

Cosa significa in pratica per un amministratore

Approvare e sovrintendere non vuol dire configurare un firewall. Vuol dire, concretamente:

1. Conoscere i rischi principali dell'azienda: quali sistemi, se fermi, bloccano la produzione o la fatturazione? Quali dati sarebbero più dannosi da perdere?
2. Approvare formalmente politiche, analisi dei rischi e piano di adeguamento, lasciandone traccia nei verbali.
3. Assegnare ruoli e risorse: chi è responsabile della sicurezza, con quale autorità e quale budget.
4. Chiedere aggiornamenti periodici sullo stato delle misure, sugli incidenti avvenuti e sull'avanzamento del piano.
5. Partecipare alle decisioni durante un incidente grave, comprese quelle sulla comunicazione e sulla notifica alle autorità.

Un esempio pratico: inserire la sicurezza informatica come punto fisso all'ordine del giorno di alcune riunioni del CdA all'anno, con un breve report del responsabile IT o del fornitore.

La formazione del management: cosa deve coprire

La formazione per gli organi di amministrazione non deve trasformarli in tecnici. Deve metterli in grado di riconoscere i rischi e valutare le scelte. Un percorso utile copre:

• il quadro normativo: NIS2, obblighi dell'organizzazione, ruolo dell'ACN, tempistiche di notifica degli incidenti;
• le minacce più rilevanti per l'azienda, come ransomware, frodi via email e compromissione dei fornitori;
• i principi di gestione del rischio e come leggere un'analisi dei rischi;
• il ruolo del management durante una crisi;
• come leggere i report di sicurezza e quali domande fare.

È importante che la formazione sia documentata (date, contenuti, partecipanti) e ripetuta nel tempo, perché minacce e normativa evolvono.

Gli errori da evitare

• Delegare tutto all'IT senza chiedere conto dei risultati.
• Approvare documenti senza leggerli, solo per avere una firma.
• Considerare la formazione un adempimento da sbrigare una volta.
• Separare sicurezza e business: i rischi informatici vanno valutati accanto a quelli operativi e finanziari.
• Non lasciare traccia delle decisioni prese: in caso di verifica, ciò che non è documentato è difficile da dimostrare.

Checklist per il vertice aziendale

• ☐ Responsabile della sicurezza nominato con ruolo e risorse chiari
• ☐ Analisi dei rischi e piano di adeguamento approvati e verbalizzati
• ☐ Report periodico sullo stato della sicurezza
• ☐ Formazione degli amministratori svolta e documentata
• ☐ Ruolo del management definito nella procedura di gestione degli incidenti
• ☐ Formazione periodica prevista anche per i dipendenti

Come può aiutarti Area GUI

Area GUI affianca titolari e consigli di amministrazione con assessment NIS2, report periodici comprensibili anche a chi non è tecnico e sessioni di aggiornamento sui rischi concreti dell'azienda. Trovi l'approccio nella pagina NIS2; per organizzare un incontro, contattaci.