In merito agli obblighi degli organi amministrativi in tema di attuazione della NIS2, l’ACN (Agenzia per la Cybersecurity Nazionale) ha recentemente integrato talune delle sue FAQ (ODA 8 e 9), introducendone altresì tre nuove (ODA da 10 a 12).
Si tratta di materie evidentemente delicate, da valutarsi attentamente da parte delle società destinatarie, essendo sempre molto difficile tracciare, in concreto, una linea di confine tra governance e gestione e, soprattutto, tra responsabilità dell’organo amministrativo e quella del management.
Ciò premesso, le FAQ di ACN sono assai preziose perché invitano ad una riflessione accurata, evitando automatismi.
Indice degli argomenti
Natura delle FAQ
Ricordiamo, per completezza, che le FAQ (Frequently Asked Questions), nella loro atipicità, si collocano in posizione intermedia tra le disposizioni di legge (generali ed astratte) e l’esercizio della funzione amministrativa da parte della PA nel caso specifico. Pur non essendo vincolanti, le stesse contribuiscono a fornire un’utile indicazione di carattere applicativo in ordine alla ratio sottesa alle procedure (Consiglio di Stato, Adunanza della I Sezione del 16 giugno 2021). Da verificare, tuttavia, se il Giudice Civile sarà poi dello stesso orientamento in un’ipotetica causa di responsabilità degli amministratori, dovendo applicare le disposizioni del codice civile e del D.lgs. 138/2024 che sembrano deporre, come si vedrà più oltre, nel senso di un maggior coinvolgimento dell’organo amministrativo.
L’approvazione delle misure non è delegabile
In pratica le nuove FAQ confermano che talune attribuzioni del Consiglio di Amministrazione in materia di NIS2 (di cui al Decreto 138/2024) sono delegabili, ma non quella (fra le altre) dell’“approvazione delle modalità di implementazione delle misure di gestione dei rischi per la sicurezza informatica” di cui agli artt. 23 e 24 del Decreto (elencate, per fortuna senza acronimi, nell’Allegato C delle Linee Guida NIS alle specifiche di base di ACN, settembre 2025). In particolare, tale obbligo, secondo le FAQ, “non è suscettibile di essere trasferito né a membri specifici, né a distinti organi e funzioni del soggetto NIS, indipendentemente dal modello di governance societaria adottato.”
Cosa approvare
Fin qui tutto chiaro. Tuttavia, la discrasia tra approvazione collegiale da parte dell’organo amministrativo e delega all’AD sembra più formale che sostanziale. Sembrerebbe, infatti, più deporre nel senso di un aumento della “consapevolezza” del Board sulla materia, anziché della sua responsabilità. In pratica, laddove la postura cyber dell’azienda rientri, come ritenuto dai più, nell’ambito degli adeguati assetti organizzativi ex art. 2086, secondo comma, cod. civ., l’organo amministrativo nella sua collegialità ha, comunque, la responsabilità di “valutare” l’adeguatezza dell’assetto (ex art. 2381-bis cod. civ. dopo la recente riforma del TUF) posto in essere dall’organo delegato.
Secondo l’ODA09 “si tratta di obblighi di indirizzo e pianificazione strategica che, in quanto tali, non sono delegabili”, mentre “è invece possibile la delega per lo svolgimento delle attività finalizzate all’attuazione dei predetti obblighi di cui all’articolo 23, commi 1 e 2” del decreto 138/2024. In tal caso, ai fini delle responsabilità, per le società, resta fermo quanto previsto dagli artt. 2381 c.c. e 2392 c.c.” In pratica, l’attività “non delegabile” sarebbe, quindi, l’approvazione (ma non la firma) delle misure di sicurezza di base, mentre le attività preparatorie e di attuazione (prima e dopo), correttamente, sarebbero delegabili. In tal senso, sarebbe auspicabile che vi sia una delega espressa a ciò relativa (magari all’AD che potrà poi sub-delegare a cascata), altrimenti l’inclusione di tale materia negli assetti organizzativi di cui sopra, benché generalmente riconosciuta, rimarrebbe comunque oggetto di interpretazione e, nel dubbio, in capo al Consiglio nella sua interezza.
I dettagli dei documenti
Vi è un ulteriore punto da valutare in ordine a quanto vada sottoposto all’organo amministrativo. Il Decreto 138/2024 dispone testualmente che l’organo di gestione debba “approvare le modalità di implementazione delle misure di gestione dei rischi per la sicurezza informatica” di cui agli artt. 23 e 24 del Decreto. Tale specifica (“modalità di implementazione”) non è invece presente nella Direttiva NIS2 (art. 20, comma 1), che si limita a dire che i soggetti NIS debbano “approvare”. In entrambi i testi legislativi, poi, vi è un espresso riferimento alla necessità che i soggetti NIS debbano “sovraintendere” all’attuazione delle misure di sicurezza. Quale interpretazione occorre, quindi, dare alla dizione “approvazione delle modalità di implementazione” delle misure di cui all’art. 23 del Decreto 138? La FAQ ODA 10 recita in proposito che occorre che “tali documenti riflettano e declinino i requisiti delle misure di sicurezza almeno a livello di indirizzo e pianificazione strategica, … Conseguentemente, il dettaglio tecnico e operativo dei succitati documenti può essere disciplinato attraverso ulteriori e diversi presidi documentali e organizzativi (e.g., procedure tecniche, istruzioni operative, manuali, documenti e relazioni interne) a cura delle articolazioni competenti del soggetto NIS”. Difficile nella pratica avere un documento strategico (se non la politica generale di sicurezza) avulso dalle relative “modalità di implementazione” atte a coprire tutte le misure di base richieste da ACN. Il Consiglio rischierebbe di approvare documentazione che potrebbe rivelarsi “troppo alta”, e così non del tutto in linea con il coinvolgimento che la normativa cyber richiede allo stesso.
Letteralmente, sembrerebbe che l’approvazione debba riguardare qualcosa in più della strategia e della pianificazione, anche perché poi l’organo amministrativo è chiamato, come già anticipato, a sovraintendere all’implementazione degli obblighi e delle misure in esame (art. 23, comma 1, lett. b) del Decreto e art. 20 della Direttiva). In caso contrario, occorrerebbe ipotizzare due momenti di intervento: il primo in sede di “approvazione” e il secondo per decidere come la strategia debba essere implementata. Ciò non vieta che il Consiglio possa operare in tal senso, purché entro le scadenze di legge (ottobre 2026).
Le modifiche ai documenti
L’ultimo punto delle FAQ (ODA 11) riguarda il quesito se sia necessario che gli organi di amministrazione e direttivi approvino anche gli ulteriori e diversi presidi documentali e organizzativi eventualmente referenziati nei documenti di cui alla FAQ ODA.10. A tal fine secondo le FAQ “il soggetto può decidere come organizzare la documentazione richiesta raggruppando i contenuti in un unico documento o distribuendoli tra più documenti”. Anche qui, spetterà poi al soggetto NIS l’onere della prova di dimostrare che il documento approvato contenga tutti i dettagli necessari e corrisponda alle misure di sicurezza obbligatorie.
Conclusioni
Alla luce di quanto sopra, varrebbe la pena di interrogarsi se sia utile per il Consiglio di Amministrazione approvare comunque, sia pure in due o più momenti, documenti più dettagliati che soddisfino letteralmente e formalmente i requisiti di legge, evitando un’ulteriore “verifica” postuma della loro completezza. Ciò consentirebbe agli amministratori di essere anche formalmente maggiormente diligenti nell’adempimento dei loro doveri e al management di aver condiviso con il vertice il loro lavoro e le loro responsabilità.
Partecipa alla community