Del Decreto NIS 2 e D. Lgs. 138/2024 si parla sempre più spesso in termini di adempimenti tecnici, ma il punto vero è che, per le imprese che operano nel digitale, il rischio informatico viene ormai trattato alla stregua di un rischio primario di business, con impatti diretti sulla continuità operativa, sulla reputazione e sulla responsabilità personale dei vertici.
Il quadro delineato dal D. Lgs. 138/2024, che recepisce la direttiva NIS 2, sposta la cybersicurezza dal perimetro esclusivo dei reparti IT alla sfera della governance, imponendo agli organi di amministrazione di approvare, indirizzare e verificare le misure adottate, senza potersi limitare a una delega generica ai dipartimenti tecnici.
In questo scenario, il supporto di uno studio legale specializzato in diritto digitale diventa un fattore altamente rilevante, perché permette di andare a tradurre gli obblighi normativi complessi in scelte organizzative e contrattuali che siano coerenti e aderenti con la realtà dell’impresa in cui si opera.
Considerare il rischio informatico come un rischio di business
Il Decreto NIS 2 configura il rischio informatico non come un problema settoriale, ma come una dimensione strutturale del rischio d’impresa, collegando esplicitamente incidenti di sicurezza, obblighi di notifica, sanzioni amministrative e possibili effetti interdittivi sulla capacità di operare sui mercati.
Per le entità essenziali e importanti, la mancata gestione dei rischi di cybersicurezza può tradursi in interruzioni di servizio, perdita di contratti strategici e esposizione a rilevanti richieste risarcitorie, oltre che in sanzioni pecuniarie proporzionate al fatturato mondiale, secondo i criteri fissati dalla direttiva.
Quando la normativa impone alla governance di assumere un ruolo attivo, la cybersicurezza diventa parte integrante del ciclo decisionale: budget, priorità di investimento, scelte di outsourcing e definizione delle responsabilità interne devono tenere conto della capacità dell’organizzazione di prevenire, rilevare e gestire incidenti significativi.
L’integrazione delle policy di sicurezza nei modelli ex D. Lgs. 231/2001 evita di esporre l’ente a responsabilità amministrativa in caso di attacchi informatici collegati a reati presupposto in materia digitale.
Verifiche interne e categorizzazione dei servizi
Per le organizzazioni che rientrano nel campo di applicazione di NIS 2, il primo passaggio operativo consiste nel verificare la propria qualificazione come soggetto essenziale o importante e nel completare, sulla piattaforma ACN, la censitura e la categorizzazione dei servizi erogati.
Le determinazioni dell’Agenzia per la Cybersicurezza Nazionale fissano finestre temporali precise per l’elencazione delle attività e la loro classificazione per impatto (alto, medio, basso o minimo), rendendo la mappatura dei processi un prerequisito per la calibrazione delle misure di sicurezza di lungo periodo.
Una mappatura incompleta o tardiva porta a una violazione diretta degli obblighi NIS 2, che può dare luogo a contestazioni e a percorsi ispettivi mirati. Per questa ragione, molte realtà hanno avviato audit interni immediati, incaricando funzioni di controllo e consulenti esterni di verificare l’effettivo invio delle dichiarazioni, la coerenza dei dati caricati in piattaforma e la correttezza della designazione del punto di contatto principale e del suo sostituto.
Cruscotto direzionale e formazione del board
Il dettato del Decreto richiede che gli organi di amministrazione e direzione non si limitino a recepire informazioni tecniche, ma approvino le modalità di implementazione delle misure di gestione del rischio e sovrintendano alla loro applicazione quotidiana, in un’ottica di controllo effettivo.
La soluzione non può consistere nel trasformare i dirigenti in specialisti IT, bensì nel dotare il board di strumenti leggibili che traducano minacce tecnologiche in indicatori di impatto economico, di indisponibilità dei servizi e di esposizione reputazionale.
Accanto alle dashboard, la normativa introduce l’esigenza di una formazione obbligatoria e periodica del personale, documentata in modo puntuale nei verbali e nei registri di presenza, così da poter dimostrare, in caso di verifica o incidente, che i vertici hanno ricevuto le informazioni necessarie per comprendere e valutare i rischi.
La figura del referente CSIRT, chiamata a gestire le comunicazioni ufficiali con l’autorità, si colloca infine, come ponte tra dimensione tecnica e vertice, garantendo che gli incidenti significativi siano intercettati, qualificati e notificati entro i termini previsti.
Integrazione con il modello 231 e disciplina interna
Il legame tra NIS 2 e D. Lgs. 231/2001 emerge in modo evidente quando si considera che un attacco informatico può costituire veicolo o manifestazione di reati presupposto, come accessi abusivi, danneggiamenti di sistemi informatici o violazioni di segreti aziendali.
Se il modello 231 non viene aggiornato per includere i nuovi rischi digitali, l’ente rischia di perdere l’efficacia esimente del modello stesso, esponendosi a sanzioni pecuniarie e misure interdittive su due fronti normativi concorrenti.
Per evitare questo scenario, molte imprese hanno avviato un lavoro congiunto tra organismo di vigilanza, funzione compliance e consulenti legali, mirando ad aggiornare il risk assessment del Modello 231 con categorie di reato informatico coerenti con la nuova disciplina europea.
Il sistema disciplinare interno viene, di conseguenza, rivisto per prevedere sanzioni graduate in caso di reiterata negligenza del personale rispetto alle misure di sicurezza: mancata attivazione dell’autenticazione a più fattori, condivisione di password, inosservanza delle policy di igiene informatica non sono più semplici cattive abitudini, ma comportamenti che espongono l’ente a responsabilità.
Catena di approvvigionamento, comitato di crisi e scadenze
Uno dei punti più delicati del nuovo quadro normativo riguarda la catena di fornitura, perché NIS 2 impone alle organizzazioni di identificare e censire i fornitori rilevanti, ossia quei partner tecnologici la cui compromissione inciderebbe in modo significativo sulla capacità di erogare servizi essenziali.
Questo censimento si traduce in una revisione dei contratti e degli SLA: clausole di right to audit, tempi di notifica delle anomalie inferiori alle 24 ore, condizioni per la risoluzione immediata in caso di inadempimento diventano elementi standard delle relazioni con i provider IT e cloud.
Parallelamente, il sistema di notifica degli incidenti richiede una comunicazione tempestiva allo CSIRT, articolata in una prima pre‑notifica entro 24 ore, in una notifica più dettagliata nelle 72 ore successive e in una relazione conclusiva a distanza di circa un mese dall’evento, imponendo la predisposizione di piani di risposta formalizzati e collaudati tramite esercitazioni.
La creazione di un comitato di crisi interdisciplinare, con ruoli e poteri di intervento definiti in anticipo, consente di gestire l’incidente non solo sul piano tecnico, ma anche su quello comunicativo e legale, riducendo l’impatto reputazionale e la probabilità di contenziosi.
Per i soggetti individuati come NIS nel 2026, le determinazioni ACN fissano scadenze specifiche: obbligo di notifica degli incidenti significativi dal 1° gennaio 2027 e termine del 31 luglio 2027 per la piena implementazione delle misure di sicurezza minime richieste, incluse quelle relative alla stabilità dei sistemi di nomi a dominio.
La pianificazione dei bilanci e l’allocazione delle risorse devono quindi incorporare questi orizzonti temporali, per evitare una corsa ai ripari nell’immediato avvicinarsi delle scadenze.
Anche perché, va ricordato, il quadro sanzionatorio NIS 2 ha una funzione chiaramente dissuasiva e può comportare sanzioni fino al 2% del fatturato annuo mondiale o fino a 10 milioni di euro, a seconda della categoria del soggetto e della gravità delle violazioni.
Di fronte a obblighi non delegabili, la scelta delle metriche, la definizione delle responsabilità, l’aggiornamento dei modelli organizzativi e la gestione della catena di fornitura richiedono una visione integrata, che unisca competenze legali, tecnologiche e di risk management.
Informazioni fornite in modo indipendente da un nostro partner nell’ambito di un accordo commerciale tra le parti. Contenuti riservati a un pubblico maggiorenne.