NIS 2 e responsabilità degli amministratori: la formazione

Per anni la sicurezza informatica è stata considerata un tema dell'ufficio IT. La NIS 2 cambia impostazione: colloca gli organi di amministrazione al centro e li rende responsabili delle misure di sicurezza. Non basta approvarle e seguirne l'attuazione: occorre anche formarsi.

Il quadro normativo

La Direttiva (UE) 2022/2555, nota come NIS 2, è stata recepita in Italia con il D.Lgs. 138/2024. L'autorità nazionale competente è l'Agenzia per la Cybersicurezza Nazionale (ACN). Il decreto si applica ai soggetti essenziali e importanti, tenuti a registrarsi sulla piattaforma ACN, adottare misure di gestione del rischio e notificare gli incidenti significativi (preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese).

L'art. 20 della Direttiva

L'art. 20 chiede agli Stati membri di assicurare che gli organi di gestione dei soggetti essenziali e importanti:

• approvino le misure di gestione dei rischi di cybersicurezza;
• sovrintendano alla loro attuazione;
• possano essere ritenuti responsabili delle violazioni.

Il secondo paragrafo riguarda la formazione: i membri degli organi di gestione devono seguirla e i soggetti vengono incoraggiati a offrirne periodicamente una analoga ai dipendenti. Lo scopo dichiarato è acquisire conoscenze sufficienti per individuare i rischi e valutare le pratiche di gestione dei rischi e il loro impatto sui servizi.

L'art. 23 del D.Lgs. 138/2024

Il decreto riprende questi principi per gli organi di amministrazione e direttivi, che:

• approvano le modalità di implementazione delle misure di gestione dei rischi previste dall'art. 24;
• sovrintendono all'implementazione degli obblighi di gestione del rischio e di notifica degli incidenti;
• rispondono delle violazioni;
• seguono una formazione in materia di sicurezza informatica e promuovono una formazione periodica per i dipendenti.

L'ACN ha chiarito nelle proprie FAQ che l'obbligo di formazione degli organi di amministrazione non può essere interpretato in senso meramente formale: la formazione deve servire a comprendere obblighi, responsabilità, minacce e modalità di gestione del rischio.

Le conseguenze del mancato presidio

Le sanzioni pecuniarie arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore, per i soggetti essenziali, e fino a 7 milioni di euro o all'1,4% del fatturato mondiale annuo, se superiore, per i soggetti importanti.

Il decreto prevede inoltre conseguenze che toccano direttamente chi dirige: per i soggetti essenziali, in caso di mancato adeguamento alle diffide dell'autorità, può essere disposta la sospensione temporanea dall'esercizio delle funzioni dirigenziali fino all'adozione delle misure richieste.

Il punto, tuttavia, non è solo evitare sanzioni. Un amministratore che non comprende i rischi informatici non può valutare se le risorse risultano sufficienti, se le priorità risultano corrette e se l'azienda è pronta a gestire un incidente.

Perché la direzione richiede una formazione dedicata

La formazione della direzione differisce da quella del personale operativo. Un amministratore non deve configurare un firewall: deve porre le domande giuste e decidere in modo informato. Una buona formazione per gli organi di amministrazione copre:

• obblighi e responsabilità previsti dalla NIS 2 e dal D.Lgs. 138/2024;
• minacce reali per un'azienda del settore, descritte senza tecnicismi superflui;
• gestione del rischio: valutazione, scelta tra trattamento e accettazione;
• gestione di un incidente: chi decide, entro quali tempi, come avviene la notifica al CSIRT Italia;
• supervisione: quali indicatori richiedere, come leggere un report, quando chiedere un approfondimento;
• catena di fornitura: rischi provenienti da fornitori e partner.

Approvare con consapevolezza

Le misure di base ACN, definite nella determinazione n. 379907/2025, prevedono tra l'altro che il piano di formazione sia approvato dagli organi di amministrazione. Approvare un piano, una politica o un investimento in sicurezza ha senso solo se chi firma ne comprende il contenuto.

Sovrintendere nel tempo

La supervisione è un processo continuo: report periodici, indicatori di rischio, stato di attuazione, incidenti e azioni correttive. Una direzione formata sa cosa attendersi da questi report e riconosce quando mancano informazioni importanti.

Come documentare la formazione della direzione

Anche la formazione degli amministratori deve essere dimostrabile. Si consiglia di conservare il programma della sessione, il registro presenze, l'esito di un breve test o di un'esercitazione su un caso simulato, l'attestato di partecipazione e il verbale in cui l'organo prende atto della formazione e approva il piano per il personale.

Il servizio di General Tech di Rosario Zappalà

Le sessioni per la direzione vengono curate da Rosario Zappalà, consulente indipendente, auditor interno ISO/IEC 27001:2022. Dopo una call gratuita di 30 minuti e una proposta scritta personalizzata, la formazione prevede contenuti su misura per settore e organizzazione, linguaggio adatto a chi decide, un'esercitazione su un incidente simulato per provare processo decisionale e tempi di notifica, test finale, attestato e registro presenze come evidenza.

Domande frequenti

L'obbligo di formazione riguarda tutti gli amministratori?

Il decreto fa riferimento agli organi di amministrazione e direttivi dei soggetti essenziali e importanti. Conviene coinvolgere tutti i membri, non solo chi ha la delega all'IT.

È possibile delegare tutto al Responsabile IT?

No. Si possono affidare compiti operativi, ma approvazione, supervisione e formazione restano in capo agli organi di amministrazione.

Con quale frequenza deve formarsi la direzione?

La norma non fissa una frequenza precisa. È ragionevole prevedere una formazione iniziale e aggiornamenti periodici, oltre a sessioni straordinarie quando cambiano minacce, organizzazione o requisiti.

La formazione della direzione è utile anche per TISAX®?

Il catalogo VDA ISA richiede che la direzione approvi l'impostazione della sicurezza delle informazioni. Una direzione consapevole rende più solido anche il percorso verso l'assessment TISAX.