La NIS2 ha introdotto una novita dirompente nel panorama normativo italiano: la responsabilita personale degli organi direttivi per la cybersicurezza. Non del CISO, non del DPO, non del responsabile IT — degli amministratori delegati, dei consiglieri di amministrazione, dei direttori generali. E le conseguenze possono essere pesanti: fino alla sospensione temporanea dalle funzioni dirigenziali.
Questa previsione ha finalmente catturato l'attenzione dei vertici aziendali. Per anni, la cybersicurezza e stata "roba dell'IT". Con la NIS2, diventa "roba del CdA" — e i rischi personali lo rendono concreto.
Cosa dice la normativa
L'art. 23 del D.Lgs. 138/2024 e chiaro: gli organi di amministrazione e gli organi direttivi dei soggetti NIS2 devono:
- Approvare le misure di gestione del rischio di cybersicurezza adottate dal soggetto
- Sovrintendere all'implementazione degli obblighi NIS2
- Seguire una formazione in materia di cybersicurezza, adeguata e periodica
- Rispondere delle violazioni degli obblighi previsti dal decreto
Le sanzioni personali
Per i soggetti essenziali, in caso di gravi e reiterate violazioni degli obblighi NIS2, l'ACN puo disporre la sospensione temporanea di una persona che esercita responsabilita dirigenziali. Questa misura, inedita nel diritto italiano della cybersicurezza, puo essere revocata solo quando il soggetto adotta le misure necessarie per porre rimedio alle carenze.
Come proteggersi: governance della cybersicurezza
Gli amministratori possono proteggersi dimostrando di aver adempiuto ai propri obblighi di governance. Concretamente:
- Approvare formalmente il risk assessment e le misure di sicurezza (verbalizzare in CdA)
- Allocare budget adeguato — non si puo delegare senza risorse
- Seguire la formazione — e un obbligo personale, non delegabile
- Monitorare l'implementazione — chiedere report periodici sullo stato della sicurezza
- Reagire agli incidenti — partecipare attivamente alla gestione delle crisi, non delegare tutto
- Documentare tutto — le decisioni, le approvazioni, la formazione seguita, i report ricevuti
D&O insurance: una protezione aggiuntiva
Le polizze D&O (Directors & Officers) possono coprire le conseguenze personali di errori o omissioni degli amministratori, incluse le sanzioni NIS2. Verifica se la tua polizza D&O copre esplicitamente le violazioni della cybersicurezza — molte polizze precedenti alla NIS2 potrebbero escluderle.