Governance NIS2: la responsabilità è del consiglio, e non si delega
L’art. 23 del D.Lgs. 138/2024 attribuisce agli organi di amministrazione e direttivi la responsabilità di approvare le misure di gestione del rischio e di vigilare sulla loro attuazione. L’esecuzione può essere delegata, la responsabilità no. Gli stessi organi sono inoltre tenuti a seguire formazione specifica sulla cybersicurezza.
A chi si rivolge
Consigli di amministrazione, amministratori delegati, direzioni generali di soggetti NIS.
Il problema
La NIS2 sposta la cybersicurezza dal perimetro IT al tavolo del consiglio. Gli amministratori rispondono personalmente, ma nella maggior parte dei casi non hanno mai visto un documento di rischio cyber né sanno cosa stanno approvando.
Cosa facciamo
- Redazione della delibera quadro che copre in un unico atto tutti gli obblighi di approvazione, evitando la frammentazione in delibere separate
- Definizione formale di ruoli e responsabilità: Punto di Contatto NIS e sostituto, CISO, referenti IT e OT, matrice RACI
- Redazione della politica di sicurezza delle informazioni e del corpo di policy collegate
- Aggiornamento di organigramma, deleghe e ordini di servizio
- Sessione di formazione dedicata ai vertici, con attestato
Cosa consegniamo
- Testo della delibera pronto all’approvazione, con verbale
- Documento di attribuzione di ruoli e responsabilità
- Politica di sicurezza e policy discendenti
- Attestati di formazione degli organi apicali
- Reportistica periodica per il consiglio (in abbonamento)
Riferimento normativo
Art. 23 D.Lgs. 138/2024; obblighi di approvazione previsti dalla Det. ACN 379907/2025.
FAQ
Posso nominare un responsabile e chiudere la questione?
Puoi delegare l’attuazione. La responsabilità di approvazione e vigilanza resta agli organi apicali.
La formazione dei vertici è davvero obbligatoria?
Sì, ed è uno degli aspetti più frequentemente trascurati. È anche uno dei più semplici da verificare in ispezione.
Cosa succede se il consiglio non approva le misure previste?
L’inadempimento dell’obbligo di approvazione e vigilanza espone gli organi di amministrazione a responsabilità personale, prevista dall’art. 23 del D.Lgs. 138/2024, indipendentemente dalla delega dell’esecuzione a figure tecniche.