NIS2: la cybersecurity entra nella governance aziendale

Bartolomeo Russo

Dottore Commercialista

3 Agosto 2026
Bartolomeo Russo

La direttiva NIS2, recepita in Italia con il decreto legislativo n. 138 del 2024, ha modificato in modo significativo il modo in cui le imprese devono affrontare la sicurezza informatica.

La cybersecurity non può più essere considerata esclusivamente una materia tecnica affidata ai reparti IT. Con il nuovo quadro normativo diventa un tema di governance aziendale, che coinvolge direttamente gli organi di amministrazione e direzione nelle attività di indirizzo, approvazione e supervisione delle misure adottate per gestire i rischi informatici.

Il cambiamento è rilevante soprattutto per i soggetti che rientrano nel perimetro applicativo della NIS2, classificati dalla normativa come soggetti essenziali e soggetti importanti.

Cybersecurity: non solo una questione tecnica

Uno degli elementi centrali della NIS2 è il rafforzamento del ruolo degli organi di gestione.

Amministratori e vertici aziendali devono approvare le misure adottate dall’organizzazione per la gestione del rischio informatico e vigilare sulla loro effettiva attuazione.

Questo non significa che il consiglio di amministrazione debba occuparsi direttamente degli aspetti tecnici della sicurezza informatica.

Le attività operative possono continuare a essere affidate al reparto IT, al responsabile della sicurezza, al CISO, a consulenti specializzati o a fornitori esterni. Ciò che cambia è il livello di coinvolgimento della governance: gli organi di gestione non possono limitarsi a delegare integralmente la materia senza esercitare un’attività di indirizzo e controllo.

La sicurezza informatica diventa quindi parte integrante della gestione del rischio aziendale, al pari di altri fattori capaci di incidere sulla continuità operativa, sulla reputazione e sulla capacità dell’impresa di fornire i propri servizi.

Il ruolo degli organi di amministrazione e direzione

Per le organizzazioni soggette alla NIS2, i vertici aziendali devono essere in grado di comprendere quali siano i principali rischi cyber e verificare che l’impresa abbia predisposto misure adeguate per affrontarli.

Tra le attività più rilevanti rientrano l’approvazione delle politiche di gestione del rischio informatico, il controllo sull’attuazione delle misure di sicurezza e la verifica dell’adeguatezza dell’organizzazione rispetto alle minacce alle quali è esposta.

Il ruolo degli amministratori diventa quindi principalmente strategico e di supervisione.

Non è richiesto loro di possedere le competenze di un tecnico informatico, ma devono essere messi nelle condizioni di comprendere quali sistemi siano critici, quali rischi possano compromettere l’attività dell’organizzazione e quali contromisure siano state predisposte.

La formazione diventa un obbligo rilevante

La nuova disciplina attribuisce particolare importanza anche alla formazione.

I membri degli organi di gestione devono acquisire competenze sufficienti per comprendere e valutare i rischi informatici e le misure adottate dall’organizzazione.

La formazione dovrebbe quindi consentire ai vertici aziendali di interpretare correttamente le informazioni ricevute dai responsabili tecnici e di valutare se le strategie di sicurezza adottate siano coerenti con le dimensioni, le caratteristiche e il livello di esposizione al rischio dell’impresa.

La NIS2 attribuisce inoltre un ruolo importante alla formazione del personale.

Una parte rilevante degli incidenti informatici può infatti dipendere da comportamenti errati, utilizzo improprio delle credenziali, phishing o altre forme di ingegneria sociale. Per questo motivo la diffusione di una cultura della sicurezza all’interno dell’organizzazione diventa parte integrante delle misure di prevenzione.

Quali rischi devono essere gestiti

La NIS2 non si limita a imporre genericamente l’adozione di sistemi di sicurezza.

Le organizzazioni interessate devono predisporre misure tecniche, operative e organizzative adeguate alla gestione dei rischi.

Tra gli ambiti da considerare rientrano, in particolare:

l’analisi e la gestione dei rischi informatici;
la prevenzione e la gestione degli incidenti;
la continuità operativa e il disaster recovery;
la sicurezza della supply chain e dei fornitori;
la gestione delle vulnerabilità;
il controllo degli accessi ai sistemi;
la sicurezza delle risorse umane;
l’utilizzo della crittografia, quando appropriato;
la verifica periodica dell’efficacia delle misure adottate;
la formazione e le pratiche di igiene informatica.

L’impresa deve quindi adottare un approccio strutturato, capace di collegare le misure tecniche alla propria organizzazione complessiva.

L’ampliamento del perimetro NIS2

Rispetto alla precedente direttiva NIS, il nuovo quadro normativo amplia sensibilmente il numero dei soggetti potenzialmente coinvolti.

La disciplina distingue tra soggetti essenziali e soggetti importanti, comprendendo organizzazioni attive in numerosi settori considerati strategici o particolarmente rilevanti per il funzionamento dell’economia e della società.

Tra questi possono rientrare, a seconda delle caratteristiche e delle dimensioni dell’organizzazione, settori come energia, trasporti, sanità, infrastrutture digitali, servizi ICT, pubblica amministrazione e numerosi comparti produttivi e industriali.

Per le imprese diventa quindi fondamentale verificare preliminarmente se la propria attività rientri nel campo di applicazione della normativa.

La gestione degli incidenti

Un altro elemento centrale riguarda la gestione degli incidenti informatici.

Le organizzazioni interessate devono predisporre procedure che consentano di individuare rapidamente gli eventi rilevanti, valutarne gli effetti e attivare tempestivamente i processi previsti dalla normativa.

Anche sotto questo profilo il ruolo della governance è importante.

Gli organi di gestione devono poter ricevere informazioni adeguate sugli incidenti più significativi e comprendere il potenziale impatto sull’attività dell’organizzazione.

Questo rende necessario predisporre flussi informativi chiari tra strutture tecniche, responsabili della sicurezza e vertici aziendali.

Responsabilità degli amministratori: nessun automatismo

La NIS2 rafforza la responsabilizzazione degli organi di amministrazione e direzione, ma è necessario evitare interpretazioni eccessivamente semplificate.

La normativa non stabilisce che qualsiasi incidente informatico comporti automaticamente una responsabilità personale degli amministratori.

Il tema riguarda invece l’eventuale inosservanza degli obblighi previsti dalla disciplina, come la mancata approvazione delle misure di gestione del rischio o la carenza dell’attività di supervisione richiesta agli organi competenti.

La conseguenza principale è che la cybersecurity entra stabilmente tra le materie sulle quali i vertici aziendali devono esercitare un controllo effettivo e documentabile.

Quando possono intervenire misure nei confronti dei vertici

Anche le conseguenze nei confronti degli amministratori devono essere valutate con attenzione.

La normativa prevede strumenti di vigilanza e sanzioni, ma non esiste una sospensione automatica dalle funzioni dirigenziali in presenza di qualsiasi violazione.

Nei casi più gravi e alle condizioni previste dalla disciplina, in particolare quando non vengono rispettate le disposizioni impartite dall’autorità competente, possono essere adottate specifiche misure anche nei confronti delle persone responsabili della gestione del soggetto interessato.

Si tratta quindi di strumenti collegati a violazioni qualificate e a precise procedure di vigilanza, non di conseguenze automatiche derivanti da una semplice carenza organizzativa.

Cosa dovrebbe verificare oggi un’impresa

Per le organizzazioni interessate dalla NIS2, l’adeguamento non dovrebbe essere affrontato soltanto attraverso interventi tecnologici.

Il primo passo consiste nel verificare se l’impresa rientri nel perimetro della normativa e individuare correttamente ruoli e responsabilità.

Occorre poi valutare il livello di rischio informatico, verificare le misure già esistenti, aggiornare procedure e politiche interne e definire chiaramente i flussi informativi verso gli organi di gestione.

Particolare attenzione deve essere dedicata anche alla formazione dei vertici, alla gestione degli incidenti e alla sicurezza dei fornitori e della catena di approvvigionamento.

La cybersecurity entra nella cultura aziendale

Il cambiamento introdotto dalla NIS2 è quindi prima di tutto culturale.

La sicurezza informatica non rappresenta più soltanto un insieme di strumenti tecnologici da utilizzare per proteggere reti e sistemi, ma diventa una componente della strategia e dell’organizzazione dell’impresa.

Per amministratori e dirigenti questo significa acquisire una maggiore consapevolezza dei rischi, approvare le strategie di sicurezza e verificarne periodicamente l’efficacia.

La gestione tecnica può essere affidata a personale specializzato, ma la capacità di comprendere, governare e supervisionare il rischio cyber entra stabilmente tra le responsabilità della governance aziendale.

Ed è proprio questo il principale effetto della NIS2: trasformare la cybersecurity da problema prevalentemente informatico a tema strutturale di gestione dell’impresa.