Approvazione, sovrintendenza, formazione e responsabilità del vertice nel sistema di governance NIS2
Il vertice non è un destinatario soltanto formale
Il d.lgs. 138/2024 attribuisce agli organi di amministrazione e direttivi dei soggetti essenziali e importanti un ruolo diretto nella governance della cybersicurezza. La sicurezza dei sistemi informativi non può quindi essere trattata come una materia esclusivamente tecnica affidata all’IT.
Il decreto individua compiti specifici di approvazione, sovrintendenza, formazione e informazione. Allo stesso tempo, i chiarimenti pubblicati da ACN nel luglio 2026 hanno precisato che questo ruolo non comporta l’approvazione da parte del vertice di ogni singola procedura o istruzione tecnica.
Qual è l’organo competente
L’individuazione dell’organo di amministrazione o direttivo deve essere effettuata considerando la struttura concreta del soggetto NIS e i poteri effettivamente attribuiti dai relativi atti organizzativi.
La Determinazione ACN 127437/2026 richiama gli organi di cui all’articolo 23 del decreto e include espressamente, laddove presente, il consiglio di amministrazione. Non è quindi opportuno utilizzare elenchi astratti di qualifiche professionali che potrebbero non corrispondere alla governance della singola organizzazione.
I compiti previsti dall’articolo 23
Gli organi di amministrazione e direttivi:
- approvano le modalità di implementazione delle misure di gestione dei rischi per la sicurezza informatica;
- sovrintendono all’attuazione degli obblighi previsti dal decreto;
- sono tenuti a seguire una formazione in materia di sicurezza informatica;
- promuovono l’offerta periodica al personale di una formazione coerente con quella prevista per il vertice;
- sono informati periodicamente e, quando opportuno, tempestivamente sugli incidenti e sulle relative notifiche;
- rispondono delle violazioni secondo il regime previsto dal decreto.
Che cosa deve essere approvato dal vertice
Le FAQ ACN aggiornate nel luglio 2026 hanno chiarito la distinzione tra governo strategico e attività operativa.
L’approvazione dei documenti previsti dall’articolo 23 appartiene all’organo collegiale competente o, quando previsto, all’organo monocratico e non può essere delegata. I documenti sottoposti al vertice devono definire gli indirizzi e la pianificazione strategica delle misure di sicurezza.
Possono invece essere affidate alle strutture competenti le attività necessarie all’attuazione operativa degli obblighi. Procedure, istruzioni operative e manuali tecnici possono essere predisposti e aggiornati senza una nuova approvazione dell’organo di governo, purché rimangano coerenti con gli indirizzi strategici approvati.
ACN ha inoltre chiarito che l’organizzazione può scegliere se raccogliere questi contenuti in un unico documento o in più documenti coordinati.
Per approfondire gli obblighi di approvazione consulta anche l’approfondimento “NIS2 e responsabilità del vertice: quali documenti devono essere approvati secondo le nuove FAQ ACN” con le FAQ aggiornate il 14 luglio 2026.
Responsabilità e sanzioni: evitare automatismi
Il decreto prevede un sistema di responsabilità significativo, ma è importante descriverlo correttamente.
Le principali sanzioni pecuniarie previste dall’articolo 38 colpiscono il soggetto NIS per le violazioni degli obblighi degli organi di amministrazione e direttivi, delle misure di gestione del rischio e degli obblighi di notifica.
Lo stesso articolo stabilisce inoltre che le persone fisiche responsabili di un soggetto essenziale o che dispongono dei poteri indicati dal decreto assicurano il rispetto delle disposizioni e possono essere ritenute responsabili dell’inadempimento.
In caso di mancato adempimento alle diffide dell’Autorità, nei casi previsti dall’articolo 38 può essere applicata alle persone fisiche interessate la sanzione amministrativa accessoria dell’incapacità temporanea a svolgere funzioni dirigenziali all’interno dello stesso soggetto, fino alla rimozione delle carenze.
Per i dipendenti pubblici il decreto richiama invece le specifiche regole sulla responsabilità dirigenziale, disciplinare e amministrativo-contabile.
Parlare genericamente di “sanzioni personali automatiche” o di “sospensione dalla carica” rischia quindi di rappresentare in modo impreciso un sistema che il legislatore ha costruito con presupposti e conseguenze differenti.
Il rapporto con il Referente CSIRT
Il Referente CSIRT non sostituisce il vertice nella governance e non diventa, per effetto della designazione, il responsabile complessivo della gestione degli incidenti.
Il suo compito normativamente definito è interloquire con CSIRT Italia ed effettuare le notifiche previste dagli articoli 25 e 26 per conto del soggetto NIS. L’organizzazione deve collocare questa funzione all’interno di un processo di incident management che definisca anche le responsabilità tecniche, decisionali e di escalation.
La conformità deve poter essere dimostrata
La sovrintendenza non si esaurisce nell’approvazione iniziale dei documenti. È necessario poter ricostruire nel tempo le decisioni assunte, l’attuazione delle misure, gli eventuali scostamenti, le azioni correttive, la formazione e le informazioni portate all’attenzione del vertice.
La documentazione non serve ad accumulare atti, ma a rendere verificabile il funzionamento effettivo del sistema di governance.
Per approfondire il tema del monitoraggio e della dimostrabilità della conformità, leggi l’articolo “ACN chiarisce controlli, ispezioni e sanzioni: cosa cambia per soggetti essenziali, importanti e PA” con le FAQ pubblicate l’11 agosto 2026.
Come iSimply supporta gli Organi Direttivi
Il nostro supporto comprende:
- formazione specifica (in partnership con Cyberguru);
- sessioni di orientamento normativo;
- predisposizione dei modelli di governance;
- supporto nelle verifiche e negli audit;
- affiancamento nella supervisione delle misure tecniche e organizzative;
- aggiornamenti periodici sugli obblighi ACN.
Hai bisogno di approfondimenti sulla normativa NIS2, obblighi e adempimenti?
Nel nostro Hub “NIS2” trovi informazioni, approfondimenti e notizie.
Vuoi pianificare correttamente il percorso di adeguamento NIS2 della tua organizzazione?
Scopri tutti i nostri servizi per la NIS2 e richiedi un supporto operativo:
info@isimply.it – Tel 0125 1899500
Sei una Pubblica Amminstrazione? Consulta la nostra pagina “Formazione NIS2 per la PA”