Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
"La responsabilità non si delega: si può trasmettere il compito, ma non la risposta che si deve dare." Questa riflessione di Norberto Bobbio sulla struttura del potere nelle organizzazioni complesse descrive con precisione insolita il cuore della disciplina NIS2 applicata agli organi di vertice. Perché la direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, ha costruito intorno alla figura dell'amministratore un sistema di responsabilità personale, nominativa e non trasferibile che sorprende ancora molti professionisti del diritto societario.
Il 13 aprile 2026, l'Agenzia per la Cybersicurezza Nazionale ha pubblicato le Determinazioni n. 127437 e n. 127434, fissando al 31 ottobre 2026 il termine per l'implementazione delle misure di sicurezza da parte dei soggetti nel perimetro NIS2. Le ispezioni formali inizieranno a novembre 2026. Le FAQ ACN aggiornate il 14 luglio 2026 (ODA.10-12) hanno poi sgomberato ogni dubbio residuo: la responsabilità del vertice ex art. 23 D.Lgs. 138/2024 non è delegabile. Non al CISO, non all'IT manager, non a un consulente esterno. Rimane in capo all'organo apicale.
Circa ventimila aziende italiane rientrano nel perimetro di applicazione. Molte si sono mosse tardi. Alcune non si sono mosse affatto. Per i loro vertici, questo è il momento in cui capire quali errori rischiano di essere fatali — non solo per l'azienda, ma per la loro posizione personale.
Cosa rischia un amministratore delegato se l'azienda non si adegua alla NIS2?
La risposta è nell'art. 38, comma 5, del D.Lgs. 138/2024, una norma che ha pochi precedenti nel panorama regolatorio italiano per il suo impatto diretto sulla persona fisica. Le sanzioni pecuniarie arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali; ma è la previsione della rimozione temporanea dalla carica — misura accessoria irrogabile dall'ACN in caso di negligenza grave e reiterata — che ha cambiato il profilo di rischio dell'amministratore delegato o del presidente del consiglio di amministrazione.
Il meccanismo ricalca, per certi versi, quello già noto nel D.Lgs. 231/2001 in materia di responsabilità degli enti: anche lì la colpa organizzativa del vertice può riverberarsi in conseguenze personali. Ma la NIS2 va oltre, perché non richiede la commissione di un reato-presupposto: basta la negligenza organizzativa sistematica nella governance della cybersicurezza. Summum ius summa iniuria, scriveva Cicerone: un sistema che applica la norma con rigidità massima senza guardare al contesto può produrre effetti sproporzionati. Il legislatore europeo ne era consapevole, e ha calibrato la rimozione come extrema ratio; ma le FAQ ACN del luglio 2026 chiariscono che il presupposto non è la catastrofe, bensì la sistematica assenza di governance.
Cinque sono gli errori che, stando alla struttura dell'art. 23 e all'interpretazione ufficiale dell'ACN, configurano questa responsabilità personale.
Il primo errore è non aver mai approvato formalmente un piano di gestione del rischio cyber. L'art. 23, comma 1, D.Lgs. 138/2024 attribuisce agli organi di vertice il compito di approvare le misure di gestione dei rischi, non semplicemente di prenderne atto. La distinzione non è formalistica: un'approvazione presuppone delibera, verbale, assunzione di responsabilità documentata. Chi ha firmato una policy generica predisposta dall'IT senza portarla in CdA, senza discussione e senza delibera, ha già commesso questo errore.
Il secondo errore è aver delegato tutto al CISO o al responsabile IT senza mantenere vigilanza. La delega operativa è lecita, anzi raccomandata. Ma la FAQ ACN ODA.11 del 14 luglio 2026 è inequivoca: la delega non trasferisce la responsabilità di vertice. L'organo apicale deve vigilare sull'attuazione, ricevere report periodici documentati, intervenire quando le misure risultano inadeguate. Un amministratore che non ha mai ricevuto un report strutturato sulla postura di sicurezza dell'azienda — e che non lo ha mai chiesto — non può invocare la delega come scudo.
Il terzo errore è non aver destinato risorse finanziarie adeguate alla cybersicurezza. L'art. 23, comma 3, D.Lgs. 138/2024 impone che gli organi di vertice garantiscano risorse sufficienti. Questo trasforma una decisione di budget in un atto giuridicamente rilevante. Se il CISO ha segnalato carenze e il CdA ha sistematicamente ridotto le risorse allocate senza motivazione documentata, quella scelta diventa elemento a carico nella valutazione della negligenza. I verbali delle riunioni di bilancio potrebbero diventare prove documentali nelle ispezioni ACN.
Il quarto errore è non aver formato se stesso. Il comma 2 dell'art. 23 prevede esplicitamente che i membri degli organi di vertice acquisiscano formazione in materia di cybersicurezza sufficiente a valutare le misure adottate. Non si tratta di diventare tecnici, ma di raggiungere una soglia di alfabetizzazione funzionale che consenta una vigilanza consapevole. Un amministratore che dichiara di non capire nulla di cybersicurezza non si esime dalla responsabilità: la aggrava, perché dimostra di non aver adempiuto a questo specifico obbligo normativo.
Il quinto errore — forse il più subdolo — è non aver aggiornato la governance dopo un incidente. La NIS2 non richiede solo di prevenire gli incidenti, ma di imparare da essi. Un'azienda che ha subito un attacco e non ha rivisto i propri processi, portandone evidenza formale al vertice con nuove delibere, espone i suoi amministratori alla contestazione più grave: quella di negligenza successiva e consapevole. È questo il caso in cui la rimozione dalla carica diventa concretamente probabile.
La responsabilità NIS2 si può delegare al CISO o all'IT?
La risposta ufficiale dell'ACN, contenuta nelle FAQ ODA.10-12 del 14 luglio 2026, è no. Non nel senso che sia vietato delegare compiti operativi — anzi, è necessario — ma nel senso che la responsabilità di vertice rimane in capo all'organo apicale indipendentemente dall'architettura di delega interna. Il CISO risponde al CdA; il CdA risponde all'ACN e, in definitiva, al sistema sanzionatorio del D.Lgs. 138/2024. Questo schema, peraltro, è coerente con quanto già elaborato dalla giurisprudenza in materia di responsabilità degli enti ai sensi del D.Lgs. 231/2001, dove la Corte di Cassazione ha ripetutamente affermato che la delega di funzioni non esonera il delegante dall'obbligo di vigilare sull'operato del delegato (si veda, in materia di sicurezza sul lavoro per via analogica, Cass. pen., Sez. IV, 19 gennaio 2016, n. 2544, che ha fissato il principio della culpa in vigilando del vertice come autonoma fonte di responsabilità, indipendente da quella del delegato).
Un aspetto che la dottrina specialistica sta iniziando a sottolineare, ma che ancora non riceve l'attenzione che merita nei piani di compliance aziendali, è il seguente: il regime NIS2 crea un doppio livello di accountability. L'ente risponde delle sanzioni pecuniarie; l'organo di vertice risponde in prima persona della rimozione. Sono due procedimenti potenzialmente paralleli, con soggetti passivi distinti. Un avvocato che si occupa di governance aziendale non può trattare questi due piani come un unico problema da risolvere con una polizza assicurativa o con un modello organizzativo standard.
Entro quando le aziende devono adeguarsi alla NIS2 in Italia?
Il termine è il 31 ottobre 2026, fissato dalla Determina ACN 379907/2025, art. 4, e confermato dalle Determinazioni ACN n. 127437 e n. 127434 del 13 aprile 2026. Dopo quella data, l'ACN avvierà ispezioni formali. Non si tratta di un termine indicativo: è la data a partire dalla quale la non-conformità diventa immediatamente contestabile e le sanzioni ex art. 38 D.Lgs. 138/2024 diventano pienamente applicabili.
Rimangono meno di tre mesi. Per un'azienda che non ha ancora avviato il percorso di adeguamento, il tempo utile per costruire una governance cybersicurezza documentata — che parta da una delibera del CdA, passi per la nomina di un responsabile, includa un piano formativo per i vertici e si concluda con un piano di gestione del rischio formalmente approvato — è tecnicamente sufficiente, ma non consente più dilazioni.
Il rischio più sottovalutato è quello che riguarda le aziende che credono di essere fuori perimetro. Molte PMI che operano come fornitori di soggetti essenziali o importanti potrebbero rientrare nella categoria dei soggetti importanti senza essersene mai accorte. L'autoregistrazione sulla piattaforma ACN era obbligatoria entro il 28 febbraio 2025. Chi non si è registrato non è escluso dal perimetro: è semplicemente non conforme anche su questo primo adempimento.
La NIS2 ha introdotto nel diritto italiano qualcosa di strutturalmente nuovo: la responsabilità personale dell'organo di vertice per la governance della cybersicurezza, senza che sia necessario un evento lesivo specifico da imputargli. È sufficiente la sistematica assenza di governance. Per chi si occupa di diritto societario e compliance, questo significa che il tema non appartiene più solo all'IT o al risk management: appartiene al diritto dell'impresa, alla responsabilità degli amministratori, al perimetro del mandato gestorio. E chi non lo ha ancora inserito nell'agenda del CdA ha già commesso il primo dei cinque errori.
Redazione - Staff Studio Legale MP
