Obblighi NIS2 per Organi di amministrazione e direttivi: responsabilità, scadenze e cosa fare entro il 2026

La Direttiva NIS2 non è soltanto una normativa tecnica sulla cybersicurezza. Per la prima volta, infatti, il legislatore europeo attribuisce un ruolo centrale agli organi di amministrazione e direttivi delle organizzazioni pubbliche e private, richiedendo loro una partecipazione attiva alle decisioni in materia di sicurezza informatica.

L’obiettivo della normativa è rafforzare la resilienza dell’ecosistema digitale europeo, partendo da un presupposto semplice: in un ecosistema sempre più interconnesso, la vulnerabilità di un singolo soggetto può generare effetti a catena sull’intera filiera.

In Italia la Direttiva è stata recepita con il D.Lgs. 138/2024 (Decreto NIS), che introduce nuovi obblighi organizzativi, misure di sicurezza e responsabilità dirette per organi di amministrazione e direttivi.

NIS2: a che punto siamo

Per i soggetti essenziali e importanti che si sono registrati nel 2025, il prossimo passaggio cruciale è rappresentato dall’adozione delle misure di sicurezza di base previste dall’articolo 24 del Decreto NIS entro il 31 ottobre 2026.

Si tratta di un traguardo particolarmente sfidante poiché richiede l’implementazione di un insieme articolato di misure tecniche e organizzative, tra cui: gestione e analisi del rischio cyber, protezione degli asset e delle infrastrutture digitali, sicurezza della supply chain, gestione degli incidenti, continuità operativa e disaster recovery, crittografia e protezione dei dati.

Per i soggetti che si sono registrati nel corso del 2026, invece, le scadenze risultano più dilazionate: entro il 31 dicembre 2026 dovrà essere nominato il referente CSIRT, dal 1° gennaio 2027 partirà l’obbligo di notifica degli incidenti e il termine per l’adozione delle misure di sicurezza di base è il 31 luglio 2027.

Chi è a perimetro NIS2

Rispetto alla precedente Direttiva NIS, il nuovo impianto normativo amplia significativamente il numero dei soggetti interessati, impattando sia il settore pubblico che quello privato.

Rientrano nel perimetro, tra gli altri: pubbliche amministrazioni centrali e locali, energia, trasporti, settore bancario e finanziario, sanità, infrastrutture digitali, telecomunicazioni, servizi spaziali.

I soggetti sono classificati come essenziali o importanti in funzione della criticità dei servizi erogati e dell’impatto potenziale di un incidente informatico.

La distinzione non è soltanto formale: i soggetti essenziali sono sottoposti a forme di vigilanza preventiva (ex ante) da parte dell’ACN, mentre per i soggetti importanti i controlli sono prevalentemente attivati a seguito di incidenti, segnalazioni o verifiche specifiche (ex post).

Il vero cambio di paradigma: la responsabilità degli organi di amministrazione e direttivi

L’elemento più innovativo della NIS2 è il coinvolgimento diretto del Consiglio di Amministrazione (articolo 23 del Decreto NIS). Pertanto, la cybersicurezza non è più una materia esclusivamente tecnica: gli organi di amministrazione e direttivi devono approvare le misure di gestione del rischio cyber, supervisionarne l’attuazione e valutarne l’efficacia.

Le attività operative possono essere delegate a responsabili interni, consulenti o funzioni specialistiche, ma non può essere delegata la responsabilità finale delle decisioni, dell’approvazione delle misure e della supervisione.

Le tre responsabilità principali degli organi di amministrazione e direttivi

Secondo il Decreto NIS, i compiti degli organi di amministrazione e direttivi possono essere ricondotti a tre macro-aree.

Approvazione e supervisione

Gli organi di amministrazione e direttivi devono approvare le strategie di gestione del rischio, definire il livello di rischio accettabile per l’organizzazione e verificare costantemente l’avanzamento delle iniziative di adeguamento.

Governance degli incidenti

I vertici devono assicurarsi che esistano procedure efficaci per la gestione degli incidenti e che le organizzazioni siano in grado di rilevare, analizzare e rispondere tempestivamente agli eventi di sicurezza.

Formazione

La normativa introduce uno specifico obbligo di formazione per gli organi amministrativi e direttivi, i quali a loro volta devono promuovere programmi di sensibilizzazione e aggiornamento rivolti a tutto il personale.

Obblighi di notifica degli incidenti

Un altro pilastro della NIS2 riguarda la gestione degli incidenti significativi.

Le organizzazioni devono rispettare tempistiche particolarmente stringenti:

• entro 24 ore dalla conoscenza dell’evento: pre-notifica al CSIRT Italia;
• entro 72 ore: notifica completa con le prime valutazioni sull’impatto;
• entro un mese: relazione finale con cause, effetti e azioni correttive adottate.

Si tratta di una disciplina che impone non solo strumenti tecnologici adeguati, ma anche processi organizzativi ben definiti e una chiara catena di responsabilità interna.

Il processo di gestione del rischio cyber

La NIS2 adotta un approccio Risk-based. Le organizzazioni devono essere in grado di identificare gli asset critici, analizzare minacce e vulnerabilità, valutare il livello di rischio e individuare le azioni di trattamento del rischio più appropriate.

L’articolo 24 del Decreto NIS definisce la gestione del rischio il fulcro della postura di sicurezza dell’organizzazione, che si sviluppa in quattro fasi chiave:

1. Identificazione: mappatura degli asset critici (sistemi ICT, dati) e modellazione degli scenari di minaccia e vulnerabilità.
2. Analisi: calcolo della gravità del rischio incrociando Probabilità di accadimento e Impatto (danni finanziari, operativi e reputazionali).
3. Valutazione: confronto tra il rischio rilevato e la soglia di propensione al rischio (risk appetite) definita dal vertice aziendale.
4. Trattamento: selezione della strategia operativa più idonea tra:

• Mitigazione: adozione di contromisure tecniche e organizzative.
• Trasferimento: copertura del rischio residuo (es. polizze assicurative cyber).
• Accettazione: presa in carico del rischio residuo entro i limiti di tolleranza.
• Evitamento: sospensione del servizio o processo ad alto rischio.

Regime sanzionatorio

La NIS2 introduce un principio di forte accountability (responsabilizzazione) per gli organi di amministrazione e direttivi. Oltre alle sanzioni amministrative previste per l’organizzazione, il Decreto NIS contempla misure che possono incidere direttamente sui soggetti che esercitano funzioni di amministrazione e direzione, fino all’incapacità temporanea di svolgere incarichi dirigenziali nei casi più gravi. Per questo motivo la cybersicurezza non può più essere considerata una materia esclusivamente tecnica, ma un tema di governance che richiede il coinvolgimento diretto degli organi apicali.

Roadmap operativa

Con l’avvicinarsi delle scadenze previste dal Decreto NIS, è necessario distinguere tra i soggetti che sono stati inclusi nel perimetro NIS nel 2025 e quelli registrati per la prima volta nel 2026.

Per i soggetti NIS 2025, il termine del 31 ottobre 2026 rappresenta una scadenza ormai imminente. A questa data le organizzazioni dovrebbero aver già completato la gap analysis, definito il piano di adeguamento, approvato il piano di trattamento del rischio e completato l’implementazione delle misure di sicurezza di base richieste dalla normativa.

Per i soggetti NIS 2026, invece, il percorso è ancora nelle fasi iniziali. Le prime attività dovrebbero concentrarsi sulla valutazione del livello di conformità attuale, sull’identificazione dei rischi cyber e sulla predisposizione di una roadmap di adeguamento. Entro il 31 dicembre 2026 dovrà inoltre essere designato il referente CSIRT, mentre gli obblighi di notifica degli incidenti decorreranno dal 1° gennaio 2027 e l’adozione delle misure di sicurezza di base dovrà essere completata entro il 31 luglio 2027.

Rivedi l’Academy di Orlando Lio a FORUM PA 2026

Su questi temi FPA progetta e realizza percorsi personalizzati di formazione e aggiornamento attraverso la sua FPA Digital School, piattaforma di e-learning nata per favorire l’empowerment delle amministrazioni, dei loro dirigenti e dipendenti. Se sei interessato a scoprire l’offerta formativa scarica la brochure, naviga la piattaforma dedicata o scrivi a fpadigitalschool@fpa.it