Sanzioni NIS2 e responsabilità C-Level: cosa rischiano i CISO

La NIS2 non introduce un nuovo reato, ma trasforma un deficit di governance cyber in un rischio legale personale per CdA e amministratori. Sanzioni, responsabilità penale e piano di difesa, con le scadenze ACN di ottobre 2026.

La NIS2 porta la cybersicurezza fuori dal perimetro esclusivamente IT e la colloca, a pieno titolo, nell’ambito della governance aziendale e delle responsabilità del Consiglio di amministrazione.

In Italia, l’art. 23 del D.Lgs. n. 138/2024 attribuisce agli organi di amministrazione e direttivi precise responsabilità, la cui mancanza può esporre l’organizzazione a rilevanti sanzioni amministrative e, in determinate circostanze, può coinvolgere direttamente anche i vertici aziendali.

Tuttavia, per il C-Level, il vero rischio non consiste soltanto nell’entità della sanzione. La questione centrale è soprattutto la dimostrabilità della governance del rischio cyber, a distanza di mesi da un incidente, il vertice deve poter dimostrare di: aver identificato e valutato i rischi, adottato misure proporzionate, esercitato un’effettiva supervisione e agito con adeguata diligenza prima che l’incidente si verificasse.

Responsabilità NIS2: perimetro e verifiche nel 2026

La NIS2, come oramai noto, riguarda i soggetti essenziali e i soggetti importanti che operano nei settori indicati dagli allegati del decreto, tra cui energia, trasporti, sanità, acqua, infrastrutture digitali e manifattura e, in linea generale, le imprese almeno di media dimensione, cioè con almeno 50 dipendenti o 10 milioni di euro di fatturato.

È importante evidenziare che la distinzione tra le due categorie incide sull’intensità della vigilanza dell’Agenzia per la Cybersicurezza Nazionale (ACN): tendenzialmente proattiva per gli essenziali, normalmente reattiva per gli importanti, ma con poteri istruttori e sanzionatori sostanziali in entrambi i casi.

Inoltre, il 2026 segna il passaggio dalla preparazione alla verifica. L’obbligo di notificare al CSIRT Italia gli incidenti significativi è , di fatto, operativo dal 1° gennaio 2026, con pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese.

Ancora, le misure di sicurezza di base vanno attuate entro il 31 ottobre 2026 e le ispezioni dell’ACN sono attese a partire da novembre. Misure e i criteri di notifica sono stati definiti dalla Determinazione ACN n. 164179 del 14 aprile 2025, mentre la successiva determinazione n. 379907/2025 Determinazione n. 379907/2025 ne contiene le specifiche di base, in attuazione dell’art. 24 del decreto.

Finora l’Agenzia ha privilegiato una logica di accompagnamento, concentrandosi sulla costruzione del perimetro e sull’allineamento dei soggetti.

Dall’autunno 2026 si apre, invece, una stagione di audit e di possibili contestazioni, nel corso della quale verrà chiesto di esibire evidenze concrete, quali: registri degli incidenti, prove dell’esecuzione dei backup, verbali di formazione, contratti con clausole di sicurezza verso i fornitori.

Ne consegue che, chi ha trattato la compliance come un esercizio documentale rischia di accorgersene proprio in quel momento.

Gli obblighi di governance cyber degli amministratori

Il punto di rottura, con la NIS2, non è solo nell’estensione del perimetro; la cybersecurity non è una delega totale al CISO, al CIO, all’outsourcer o al cloud provider, ma materia di decisione e controllo dell’organo di governo.

Approvare, sovrintendere e formarsi: i tre doveri

L’art. 20 della direttiva e l’art. 23 del D.Lgs. 138/2024 impongono agli organi di amministrazione e direttivi tre doveri, dei quali rispondono anche per le violazioni commesse dal soggetto che rappresentano. E, precisamente:

• Approvare – Si tratta di deliberare un impianto di gestione del rischio proporzionato ai servizi, alle dipendenze e alle minacce dell’impresa, sostenuto da policy, budget, piano di trattamento dei rischi e deleghe.
• Sovrintendere – Significa verificare nel tempo che le misure siano attuate e funzionino, con dashboard di rischio, audit, KPI e KRI, piani correttivi e procedure di escalation.
• Formarsi – Si tratta di acquisire una competenza sufficiente per un controllo informato, con formazione documentata, periodica ed esercitazioni.

Di fatto gli organi direttivi devono: saper porre domande corrette, allocare le risorse, verificare le lacune e intervenire quando l’esposizione residua supera la propensione al rischio.

C-Level e deleghe: chi risponde della sicurezza

La definizione di C-Level non determina automaticamente una responsabilità ai sensi della NIS2: contano soprattutto i poteri effettivamente esercitati, le deleghe attribuite, il ruolo ricoperto e i flussi decisionali all’interno dell’organizzazione.

Pertanto, è necessario considerare la concreta posizione del soggetto e il suo effettivo coinvolgimento nelle decisioni relative alla gestione del rischio cyber. Tra le figure potenzialmente più esposte rientrano:

• Amministratori, amministratore delegato, direttore generale e rappresentante legale, in relazione alle responsabilità attribuite agli organi di amministrazione e direttivi.
• Dirigenti con effettive deleghe in materia di tecnologia, cybersecurity, continuità operativa, operations o procurement ICT, quando dispongono di poteri decisionali e di controllo coerenti con tali responsabilità.
• CISO, CIO e CTO, la cui posizione non comporta un trasferimento automatico delle responsabilità proprie del Board, ma può assumere rilievo in presenza di obblighi contrattuali, deleghe specifiche o responsabilità di fatto.

Un aspetto particolarmente rilevante riguarda le deleghe che non eliminano, infatti, il dovere di sorveglianza degli organi direttivi.

Di fatto, il Board può affidare a figure tecniche e manageriali l’attuazione operativa delle misure di cybersecurity, ma mantiene il compito di:

• Assicurare un’adeguata supervisione
• Valutare in modo informato il rischio cyber
• Verificare l’effettiva attuazione delle decisioni assunte.

In altre parole, la NIS2 non richiede che il Board gestisca direttamente gli aspetti tecnici della cybersecurity, ma che governi consapevolmente il rischio cyber, assicurandosi che responsabilità, deleghe, risorse, controlli e processi decisionali siano chiaramente definiti e adeguatamente supervisionati.

Sanzioni NIS2: gli importi e le conseguenze per il vertice

Quando gli obblighi previsti dalla NIS2 non vengono rispettati, entra in gioco il sistema sanzionatorio disciplinato dall’art. 38 del D.Lgs. 138/2024. L’obiettivo è garantire sanzioni effettive, proporzionate e dissuasive, in particolare per le violazioni che incidono su: la governance della cybersecurity, le misure di gestione del rischio e la notifica degli incidenti.

Massimali per imprese e pubbliche amministrazioni

È importante evidenziare che, per le violazioni più gravi, il quadro sanzionatorio prevede massimali differenti in funzione della categoria dell’organizzazione e, precisamente:

• Soggetti essenziali: fino a 10 milioni di euro oppure al 2% del fatturato mondiale annuo, se superiore.
• Soggetti importanti: fino a 7 milioni di euro oppure all’1,4% del fatturato mondiale annuo, se superiore.

Inoltre, per alcune violazioni di natura prevalentemente informativa – quali quelle relative agli obblighi di informazione, registrazione e comunicazione dei dati – sono previsti massimali inferiori:

• soggetti essenziali: fino allo 0,1% del fatturato mondiale annuo;
• soggetti importanti: fino allo 0,07% del fatturato mondiale annuo.

Ancora, per le Pubbliche Amministrazioni si applica, invece, un regime specifico, non parametrato al fatturato. In particolare:

• PA essenziali – Le sanzioni possono variare: da 25.000 a 125.000 euro per le violazioni più gravi e da 10.000 a 50.000 euro per le violazioni di natura procedurale.
• PA importanti – Gli importi sono ridotti di un terzo.

Inoltre, in caso di reiterazione non specifica, la sanzione può arrivare fino al triplo. Il procedimento può, altresì, prevedere l’invito a conformarsi e, nei casi previsti, il pagamento in misura ridotta e strumenti che possono contribuire a contenere l’esposizione sanzionatoria, quando l’organizzazione interviene tempestivamente sulle carenze rilevate.

Vigilanza ACN: quando cresce l’esposizione del vertice

L’esposizione del vertice non dipende soltanto dall’importo della sanzione. Nel corso dell’attività di vigilanza, l’ACN può richiedere informazioni e documentazione, effettuare ispezioni, imporre misure correttive e contestare situazioni di non conformità.

La mancata ottemperanza a prescrizioni e diffide può, quindi, aggravare ulteriormente la posizione dell’organizzazione e dei suoi vertici, soprattutto quando emerge una situazione di: inerzia, mancata remediation o ostacolo all’attività di vigilanza.

Pertanto, il C-Level deve essere in grado di dimostrare, non soltanto che esistano misure di cybersecurity, ma che siano state approvate, attuate, monitorate e adeguatamente supervisionate.

L’incapacità temporanea a svolgere funzioni dirigenziali

Una delle conseguenze più rilevanti, per le persone fisiche, è rappresentata dalla sanzione accessoria dell’incapacità a svolgere funzioni dirigenziali.

In caso di mancato adempimento nei termini previsti dalla diffida dell’Autorità, questa misura può riguardare gli organi di amministrazione e direttivi, nonché chi ricopre il ruolo di amministratore delegato o rappresentante legale, sia presso soggetti essenziali sia presso soggetti importanti.

È una misura temporanea che riguarda direttamente la persona interessata e permane fino all’adozione delle misure necessarie per rimediare alle carenze o per conformarsi alle prescrizioni dell’Autorità.

Si tratta, quindi, di una leva particolarmente significativa perché non incide soltanto sul patrimonio dell’organizzazione, ma direttamente sulla posizione professionale del vertice.

Le ricadute professionali, organizzative e reputazionali

Per il vertice aziendale, tuttavia, il rischio più significativo può è rappresentato solo dall’importo della sanzione NIS2, ma dal cumulo delle conseguenze organizzative, reputazionali e personali che possono accompagnare un procedimento di non conformità.

Un procedimento può infatti comportare:

• prescrizioni urgenti e piani di remediation sottoposti a vigilanza;
• ispezioni e richieste di documentazione;
• ricostruzione delle decisioni assunte e della catena delle responsabilità;
• possibile pubblicità della violazione e conseguente danno reputazionale;
• ricadute sui rapporti con clienti, partner, assicuratori, finanziatori e autorità di settore;
• in caso di crisi o insolvenza, possibili azioni di responsabilità promosse dalla società, dai soci, dai creditori o dal curatore;
• sul piano personale, revoca delle deleghe, mancato rinnovo dell’incarico o perdita di ruoli apicali.

Ne consegue che la vera domanda, per il C-Level, non è soltanto “quanto può costare una sanzione NIS2?” ma, soprattutto, “si è in grado di dimostrare di aver governato correttamente il rischio cyber e di aver agito con adeguata diligenza prima, durante e dopo l’incidente?”.

La responsabilità del C-Level passa dalle prove di governance

Nominare un CISO non è sufficiente per trasferire la responsabilità della cybersecurity. La nomina deve essere accompagnata da autonomia, risorse adeguate, budget, reporting diretto agli organi di vertice e concreti poteri di escalation. In assenza di questi elementi, la stessa nomina può diventare un elemento rilevante nella valutazione della governance: dimostra infatti che il rischio cyber era stato riconosciuto, ma non necessariamente che fosse stato effettivamente governato.

Lo stesso principio vale per le informazioni portate periodicamente all’attenzione del Board. Se, per più trimestri, i report evidenziano l’assenza di MFA sugli accessi remoti, backup non immutabili, vulnerabilità critiche ancora aperte o una dipendenza significativa da un unico fornitore, ma nei verbali non emerge alcuna decisione, il problema diventa anche probatorio.

Il Board dovrebbe poter dimostrare di aver preso una posizione consapevole attraverso:

• accettazione formale e motivata del rischio;
• stanziamento delle risorse necessarie;
• approvazione di un piano di remediation con responsabilità e scadenze;
• monitoraggio dell’avanzamento;
• verifica dell’effettiva chiusura delle criticità.

Dopo un ransomware o un altro incidente grave, l’assenza di queste evidenze può trasformare quello che prima appariva come un semplice gap di cybersecurity in un elemento sfavorevole nella ricostruzione delle decisioni assunte dal vertice.

Cinque rischi NIS2 da presidiare nel consiglio di amministrazione

Per il Board è utile distinguere cinque livelli di esposizione al rischio, associando a ciascuno una specifica contromisura. E, precisamente:

Conformità agli obblighi e rischio regolatorio

È il rischio derivante dalla mancata o incompleta conformità agli obblighi previsti dalla NIS2 e dal D.Lgs. 138/2024. Può riguardare, tra gli altri:

• errata qualificazione dell’organizzazione;
• mancata o incompleta registrazione;
• misure di gestione del rischio cyber non adeguate o proporzionate;
• incident reporting tardivo o incompleto;
• documentazione insufficiente;
• mancata attuazione delle prescrizioni dell’ACN.

Contromisura – Registro degli obblighi NIS2 con ownership nominativa, scadenze, stato di conformità ed evidenze documentali, mantenuto costantemente aggiornato.

Decisioni del vertice e rischio di governance

Il rischio emerge quando la cybersecurity rimane confinata alla funzione tecnica e non entra realmente nei processi decisionali del Board. Sono segnali di debolezza:

• reporting esclusivamente tecnico;
• budget non collegato al profilo di rischio;
• assenza di soglie di escalation;
• deleghe poco chiare;
• mancanza di un presidio strutturato della cyber governance;
• conflitti non gestiti tra obiettivi di sicurezza e obiettivi commerciali.

Contromisura – Framework di cyber governance formalmente approvato dall’organo amministrativo, con ruoli e responsabilità (modello RACI – Responsabile, Accountable, Consulted e Informed), flussi di escalation, frequenza dei riesami, criteri di accettazione del rischio e modalità di reporting.

Evidenze documentali e rischio probatorio

Una misura di sicurezza, pur correttamente adottata, può essere difficile da dimostrare se l’organizzazione non ne conserva le evidenze.

Contromisura – Progettare la compliance come sistema di evidenze, non come insieme di policy.

Fornitori e rischio di terza parte

Cloud provider, managed security service provider, software house, fornitori OT, provider di connettività, consulenti, subfornitori e altri partner tecnologici possono amplificare il rischio operativo. Inoltre, l’affidamento di un servizio a una terza parte non trasferisce automaticamente la responsabilità dell’organizzazione nei confronti dell’Autorità, dei clienti e degli altri stakeholder.

Contromisura – Implementare un processo strutturato di third-party risk management, che comprenda almeno:

• due diligence iniziale e periodica;
• requisiti e clausole di cybersecurity;
• obblighi di notifica degli incidenti;
• diritto di audit e accesso alle evidenze;
• requisiti di resilienza e continuità operativa;
• controllo delle subforniture;
• exit plan e gestione della sostituibilità del fornitore.

Gestione della crisi e risposta agli incidenti

La fase di crisi può determinare un significativo incremento dell’esposizione dell’organizzazione e del vertice. Ritardi nelle prime decisioni, assenza di una chiara catena di comando, comunicazioni contraddittorie, perdita delle evidenze digitali o mancato coinvolgimento tempestivo di legale e forensics possono compromettere contemporaneamente cyber resilience, gestione dell’incidente e capacità di difesa.

Contromisura – Esercitazioni periodiche, in particolare tabletop exercise, che coinvolgano CEO, CdA, CISO, CIO, funzione legale, DPO, comunicazione, HR, operations e fornitori critici. L’obiettivo non è soltanto verificare una procedura tecnica, ma testare come vengono prese e documentate le decisioni quando il tempo è limitato e le informazioni sono incomplete.

NIS2, GDPR e decreto 231: le responsabilità che si intrecciano

La violazione degli obblighi NIS2 non deve essere considerata come un evento isolato né come un semplice rischio di sanzione amministrativa. Uno stesso incidente cyber, infatti, può produrre contemporaneamente effetti sotto più regimi normativi, ciascuno con propri presupposti, autorità competenti, obblighi e conseguenze.

Il rischio cumulativo può quindi coinvolgere, a seconda del settore, dell’organizzazione e delle caratteristiche dell’evento:

• NIS2 e D.Lgs. 138/2024, con obblighi di gestione del rischio, incident reporting, vigilanza, misure correttive e sanzioni.
• D.Lgs. 231/2001, quando la condotta integra uno dei reati-presupposto previsti dal decreto e ricorrono i relativi presupposti per la responsabilità dell’ente.
• GDPR e normativa privacy, quando l’incidente comporta una violazione di dati personali, con possibili obblighi di notifica e ulteriori conseguenze.
• DORA, per i soggetti finanziari rientranti nel relativo perimetro, con specifici requisiti di gestione del rischio ICT e di resilienza operativa digitale.
• CER, per i soggetti qualificati come entità critiche, con obblighi relativi alla resilienza rispetto a minacce di diversa natura
• Perimetro di Sicurezza Nazionale Cibernetica (PNSC), quando l’organizzazione e i sistemi interessati rientrano nel relativo ambito applicativo, con ulteriori obblighi di sicurezza e notifica.
• Obblighi contrattuali e responsabilità civile, nei confronti di clienti, partner, fornitori, azionisti o altri soggetti che abbiano subito un danno.
• Responsabilità personali degli amministratori e dirigenti, quando la condotta concreta integra i presupposti previsti dalle norme applicabili.

È doveroso evidenziare che un incidente può attivare automaticamente tutti questi regimi. L’applicabilità dipende dal settore, dal ruolo dell’organizzazione, dai sistemi e dai dati coinvolti, dalla natura dell’incidente e dalle specifiche condotte contestate.

Tuttavia, per il C-Level è importante comprendere che una singola decisione o una singola carenza di governance può avere conseguenze su più piani contemporaneamente.

Un ransomware e i diversi piani di responsabilità

Un ransomware, che sfrutta , ad esempio, una vulnerabilità nota non corretta, determina l’indisponibilità dei sistemi aziendali. Se l’attacco coinvolge anche dati personali, interrompe servizi rilevanti e interessa un’organizzazione soggetta alla NIS2, possono emergere contemporaneamente diverse questioni:

• NIS2: adeguatezza delle misure di gestione del rischio, capacità di risposta e rispetto degli obblighi di notifica degli incidenti.
• GDPR: eventuale violazione dei dati personali e relativi obblighi di gestione e notifica.
• D.Lgs. 231/2001: verifica dell’eventuale rilevanza di reati-presupposto e dell’adeguatezza del modello organizzativo e dei relativi controlli.
• Responsabilità contrattuale e civile: eventuali danni provocati a clienti, partner o altri soggetti dall’interruzione dei servizi.
• Regolazione settoriale: ulteriori obblighi possono derivare dalla disciplina specifica applicabile al settore di appartenenza.
• Responsabilità degli organi di vertice: valutazione delle decisioni assunte, delle informazioni ricevute, delle risorse stanziate e delle misure adottate per gestire il rischio.

Il problema, quindi, non è soltanto stabilire “quale sanzione si applica?”, ma ricostruire l’intero percorso decisionale che ha preceduto e seguito l’incidente.

Le evidenze che documentano le decisioni del vertice

È proprio su questo terreno che emerge la rilevanza della governance cyber. Di fronte a un incidente, possono diventare rilevanti non soltanto le misure tecniche esistenti, ma anche le evidenze che dimostrano come il rischio sia stato gestito dal vertice.

Il C-Level dovrebbe quindi essere in grado di dimostrare:

• quali rischi cyber erano stati identificati;
• quali informazioni erano state portate al Board;
• quali decisioni erano state assunte;
• quali risorse erano state stanziate;
• quali rischi erano stati formalmente accettati e con quali motivazioni;
• quali remediation erano state richieste e monitorate;
• come erano stati gestiti i fornitori critici;
• come erano state testate le procedure di risposta agli incidenti;
• quali verifiche erano state effettuate sull’efficacia dei controlli.

La vera esposizione del vertice è quindi multidimensionale: regolatoria, economica, operativa, contrattuale, reputazionale e, nei casi in cui ricorrano i relativi presupposti, anche personale.

Per questo la NIS2 non dovrebbe essere gestita come un adempimento separato, ma integrata nel più ampio sistema di cyber risk management, enterprise risk management, business continuity, privacy, compliance 231 e third-party risk management.

La capacità del Board di dimostrare un processo coerente di identificazione, valutazione, decisione, finanziamento e monitoraggio del rischio diventa, così, una componente centrale della governance.

Il piano del consiglio di amministrazione per governare la NIS2

Le contromisure sopra descritte possono essere ricondotte a un piano operativo in cinque fasi, finalizzato a rendere la governance cyber concreta, misurabile e, soprattutto, dimostrabile.

Fase 1: delibera di indirizzo e quadro di resilienza

Il punto di partenza è una delibera del Board che definisca il quadro di cyber resilience e gestione del rischio, stabilendo almeno:

• appetito e criteri di accettazione del rischio;
• servizi e asset critici;
• fornitori essenziali;
• ruoli, responsabilità e deleghe;
• criteri per la gestione del rischio residuo;
• indicatori e frequenza del reporting;
• risorse e impegni di finanziamento.

Fase 2: reporting per decisioni informate

Il reporting deve consentire al vertice di prendere decisioni informate evitando di limitarsi a descrivere lo stato tecnico dei sistemi. Pertanto, la dashboard di reporting dovrebbe evidenziare, almeno:

• • principali rischi cyber e relativi owner;
• • vulnerabilità critiche oltre soglia;
• • copertura MFA, EDR e backup immutabili;
• • risultati dei test di disaster recovery;
• • incidenti e near miss;
• • rischio associato ai fornitori critici;
• • gap NIS2, budget e relative scadenze;
• • rischi formalmente accettati e relativa data di riesame.

Fase 3: costruire il sistema delle evidenze

Ogni decisione rilevante dovrebbe produrre un’evidenza verificabile. Ne consegue che il dossier di governance cyber dovrebbe includere:

• • verbali del CdA che dimostrino una discussione sostanziale;
• • piani di remediation approvati e monitorati;
• • registro delle eccezioni e dei rischi accettati;
• • risultati di penetration test e audit;
• • registri di incident response;
• • contratti con requisiti di sicurezza;
• • evidenze della formazione degli organi di amministrazione.

Fase 4: coordinare le funzioni aziendali

La gestione del rischio cyber e degli incidenti non può essere affidata a una sola funzione. Legal, compliance, internal audit, risk management, privacy, business continuity e cybersecurity devono essere coinvolti secondo un modello di governance predefinito.

Ciò è particolarmente importante durante un incidente, quando la qualificazione dell’evento, le notifiche previste dalla normativa e la comunicazione verso l’esterno devono essere coordinate e tempestive.

Fase 5: integrare governance NIS2 e sistema 231

L’ultimo passaggio consiste nell’integrare la governance NIS2 con il sistema 231, aggiornando il risk assessment in chiave cyber, i flussi informativi verso l’Organismo di Vigilanza (OdV) e le procedure di controllo.

È utile, inoltre, svolgere esercitazioni congiunte su scenari quali:

• • ransomware;
• • Business Email Compromise (BEC);
• • compromissione di un fornitore;
• • manipolazione dell’ERP;
• • indisponibilità di sistemi OT;
• • compromissione di infrastrutture o servizi critici.