Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Un'azienda manifatturiera con cento dipendenti e cinquanta milioni di fatturato annuo. Un data breach che compromette i sistemi di controllo industriale. Nessuna notifica al CSIRT Italia entro le ventiquattro ore. Nessuna formazione documentata del CDA in materia di cybersicurezza. Nessun registro delle misure adottate secondo la Determina ACN 379907/2025. Quanto costa questa situazione al suo amministratore delegato, personalmente?
La risposta non è solo giuridica. È aritmetica. Ed è questa la prospettiva che manca nel dibattito corrente sulla NIS2: non la lista degli adempimenti, già analizzata in altri contesti, ma la quantificazione economica dell'esposizione personale del management. Perché le NIS2 sanzioni manager e la responsabilità personale si misurano in euro, in anni di interdizione, e — in uno scenario di cumulo con il GDPR — in cifre che poche imprese italiane hanno davvero elaborato.
Quale perimetro, quali soglie: il conto che pochi hanno fatto
Il D.Lgs. 4 settembre 2024, n. 138 è stato pubblicato in Gazzetta Ufficiale il 1° ottobre 2024 ed è entrato in vigore il 16 ottobre 2024. L'Agenzia per la Cybersicurezza Nazionale ha assunto il ruolo di Autorità nazionale competente NIS, con pieni poteri di vigilanza, ispezione e irrogazione di sanzioni. Il decreto ha introdotto un significativo ampliamento del perimetro soggettivo rispetto alla NIS1, estendendo gli obblighi a 18 settori — undici altamente critici e sette critici — e oltre 80 tipologie di soggetti pubblici e privati.
Per i soggetti essenziali la sanzione massima è pari a 10 milioni di euro o al 2% del fatturato annuo globale, se superiore; per i soggetti importanti il massimo è 7 milioni di euro o l'1,4% del fatturato globale. La norma sceglie sempre il valore più elevato tra cifra fissa e percentuale: per una grande azienda con fatturato mondiale di un miliardo di euro, il 2% equivale a 20 milioni, ben superiore al tetto fisso di 10 milioni — in quel caso, si applica la percentuale.
Ma il dato che le simulazioni di compliance raramente includono è il doppio canale sanzionatorio. Lo scenario è concreto: un data breach può violare simultaneamente NIS2 e GDPR, esponendo l'azienda a sanzioni da entrambe le autorità — ACN e Garante Privacy. Il D.Lgs. 138/2024 prevede un coordinamento per evitare duplicazioni sproporzionate, ma la doppia sanzione resta possibile. Chi ha già valutato la propria esposizione GDPR sa che il massimo edittale regolamentare è 20 milioni o il 4% del fatturato globale: sommato alla componente NIS2, l'esposizione aggregata per un soggetto essenziale di medie dimensioni può agevolmente superare i 25-30 milioni di euro in un singolo incidente ben documentato.
Il punto però più dirompente — e meno discusso nei modelli di risk management aziendale — riguarda la persona fisica.
La sospensione dagli incarichi: quando la sanzione non è monetaria
L'art. 23, comma 2, del D.Lgs. 138/2024 stabilisce che "le persone fisiche che svolgono funzioni dirigenziali a livello di amministratore delegato o rappresentante legale per i soggetti essenziali e importanti, o che fanno parte degli organi di amministrazione e degli organi direttivi di tali soggetti, possono essere ritenute responsabili dell'inadempimento in caso di violazione del presente decreto da parte del soggetto di cui hanno rappresentanza."
Non si tratta solo di importi più elevati, ma di una logica sanzionatoria completamente diversa, che sposta la responsabilità dal team IT al consiglio di amministrazione. La delega operativa è consentita, ma la responsabilità rimane in capo agli organi apicali e non è trasferibile.
Le conseguenze operative sono disciplinate dall'art. 38, comma 5, del D.Lgs. 138/2024. Gli organi di vertice rischiano l'interdizione fino a quando l'azienda non adotti le misure necessarie per adeguarsi, perché possono essere ritenuti responsabili della violazione delle prescrizioni sulla cybersecurity ai sensi dell'art. 38, comma 5, del D.Lgs. 138/2024: gli organi di vigilanza possono rimuovere gli amministratori o i soggetti con responsabilità direttiva ritenuti negligenti. Nei casi estremi, il decreto prevede la possibilità di sospensione temporanea dalle funzioni dirigenziali per i responsabili dei soggetti essenziali.
Per un amministratore delegato di una società con partecipazioni incrociate, con cariche in più consigli di amministrazione, con compensi variabili legati alla continuità del mandato, questa sospensione rappresenta un costo patrimoniale personale difficilmente assicurabile e certamente non delegabile alla funzione IT.
Si tratta di una peculiarità prevista al momento unicamente dall'implementazione italiana della NIS2: nessun altro Stato membro ha tradotto la direttiva europea in termini di responsabilità personale con questa intensità. Il legislatore italiano ha scelto un approccio massimalista, che espone il management italiano a un rischio di posizione più elevato rispetto ai colleghi europei.
Vigilantibus iura subveniunt: il diritto protegge chi si attiva. Il management che documenta le proprie scelte, che approva formalmente le misure, che partecipa alla formazione prevista dall'art. 23 costruisce una posizione difensiva reale. Chi non lo fa, nel silenzio degli atti societari, non potrà invocare l'ignoranza.
Come osservava Hannah Arendt, la responsabilità non nasce dal compiere un atto illecito, ma dall'appartenere a un sistema organizzato che ha prodotto quell'atto senza presidio. L'art. 23 del D.Lgs. 138/2024 è esattamente questa traduzione normativa: il management risponde non perché abbia fatto il breach, ma perché non ha governato il rischio.
Quando iniziano le ispezioni ACN sulla NIS2?
A quasi due anni dall'entrata in vigore del D.Lgs. 138/2024, il recepimento italiano della Direttiva UE 2022/2555 entra nella sua fase più critica: registrazioni completate, obblighi di notifica già operativi, ispezioni all'orizzonte per le oltre 20.000 organizzazioni in perimetro. Finora l'ACN ha operato in una logica di accompagnamento, privilegiando la costruzione del perimetro e l'allineamento dei soggetti. Con l'autunno 2026 si apre una stagione diversa, fatta di audit e possibili contestazioni.
Il quadro tecnico degli adempimenti è definito dalla Determinazione ACN n. 379907/2025, che introduce importanti aggiornamenti operativi per l'attuazione della Direttiva NIS2 in Italia sulle misure di sicurezza e notifica degli incidenti, definendo nuove regole per i soggetti essenziali e importanti. La Determinazione ACN n. 379907/2025 è in vigore dal 15 gennaio 2026 e abroga e sostituisce la precedente n. 164179/2025.
I soggetti importanti sono tenuti ad adottare le misure di sicurezza riportate nell'Allegato 1 della Determinazione ACN 379907, mentre i soggetti essenziali sono tenuti ad adottare le misure di sicurezza riportate nell'Allegato 2. Le tempistiche di adozione variano: il termine si configura differentemente a seconda che il soggetto sia stato inserito nell'elenco dei soggetti NIS nel corso del 2025 — in quel caso diciotto mesi dalla comunicazione di inserimento — oppure nel 2026, nel qual caso il termine scade il 31 luglio 2027.
I componenti degli organi di amministrazione e direzione sono tenuti a seguire un'apposita formazione in materia di gestione dei rischi e cybersicurezza ai sensi dell'art. 23, comma 4, del D.Lgs. 138/2024: non è un adempimento accessorio, è uno dei primi elementi che l'ACN potrà verificare in fase ispettiva.
Quali aziende rientrano nel perimetro NIS2 in Italia?
La NIS2 introduce due categorie distinte di soggetti — essenziali e importanti — estende il perimetro a 18 settori critici, impone soglie sanzionatorie minime vincolanti, e per la prima volta nella storia del diritto UE in materia di sicurezza informatica prevede la responsabilità personale degli organi di amministrazione. Non si parla più solo di infrastrutture critiche: gli obblighi NIS2 coinvolgono ora anche medie imprese che operano in settori come la manifattura, l'alimentare, la gestione dei rifiuti, i servizi postali e la pubblica amministrazione.
Secondo le stime dell'Agenzia per la Cybersicurezza Nazionale, i soggetti interessati dalla normativa in Italia ammonterebbero a circa 50.000 organizzazioni. Rientrano nel perimetro le aziende con oltre 50 dipendenti o un fatturato superiore a 10 milioni di euro che operino in uno dei settori elencati negli Allegati I e II della Direttiva, nonché i soggetti individuati dall'ACN indipendentemente dalle soglie dimensionali per la loro criticità sistemica.
Un elemento spesso sottovalutato riguarda la supply chain. Il D.Lgs. 138/2024 configura un regime di obbligazioni a struttura organizzativa e probatoria in cui la sicurezza informatica viene positivizzata come dovere di governo, di gestione del rischio e di rendicontazione, con presidi vincolanti anche sulla supply chain. Le organizzazioni che avranno trattato la conformità come un esercizio documentale rischiano di trovarsi impreparate di fronte a una richiesta di evidenze: registri degli incidenti, prove dell'esecuzione dei backup, verbali di formazione, contratti con clausole di sicurezza verso i fornitori.
Cosa rischia personalmente un amministratore se l'azienda non è conforme alla NIS2?
La domanda ha risposta stratificata. Sul piano amministrativo: la responsabilità personale diretta ex art. 23, comma 2, con possibilità di sospensione dagli incarichi ai sensi dell'art. 38, comma 5. Sul piano civilistico: la responsabilità civile verso terzi danneggiati da incidenti resta invariata secondo il codice civile italiano, il che significa che un breach che provochi danni a clienti o fornitori può generare azioni risarcitorie nei confronti degli amministratori che abbiano omesso di presidiare adeguatamente la governance cyber. Sul piano societario interno: la mancata adozione di assetti organizzativi adeguati può integrare una violazione del dovere di diligenza ex art. 2381 c.c., con conseguente responsabilità verso la società.
C'è poi un quarto livello di rischio che le analisi di settore trattano raramente: il D.Lgs. 231/2001. Il D.Lgs. 138/2024 configura un regime in cui la sicurezza informatica viene positivizzata come dovere di governo. Un Modello di Organizzazione e Gestione ex D.Lgs. 231/2001 che non contempli la governance NIS2 come area di rischio presidio potrebbe rivelarsi inidoneo alla prevenzione, con conseguente responsabilità amministrativa dell'ente. L'integrazione tra i due sistemi di compliance — 231 e NIS2 — è il terreno su cui si misura la maturità organizzativa reale delle imprese italiane.
Solo il 3,9% delle aziende dichiara una conoscenza dettagliata delle nuove regole. Questo dato non misura l'ignoranza: misura l'esposizione economica aggregata di un sistema produttivo che, tra settantadue giorni dalla data di pubblicazione di questo articolo, dovrà rispondere non a un questionario di autovalutazione, ma a un'ispezione formale dell'ACN.
Il problema non è tecnico. È di governance. E la governance, nel diritto societario italiano, è sempre personale.
Redazione - Staff Studio Legale MP
