Guida NIS2 · 7 min
NIS2 e la responsabilità della dirigenza: cosa devono sapere consiglio e vertici
NIS2 fa qualcosa che le precedenti regole di cybersicurezza in gran parte non facevano: mette la cybersicurezza esplicitamente sul tavolo dell'organo di gestione. La dirigenza deve approvare le misure di gestione dei rischi, vigilare su di esse e può essere ritenuta personalmente responsabile in caso di carenze. Questa guida spiega cosa la direttiva si aspetta da consiglio e vertici, le domande da porre al tuo team di sicurezza, com'è un buon reporting e quanto costa sbagliare.
Punti chiave
- Gli organi di gestione devono approvare e vigilare sulle misure di gestione dei rischi cyber — e possono essere ritenuti responsabili delle carenze (art. 20).
- La dirigenza deve seguire una formazione sulla cybersicurezza; l'obbligo non può essere delegato del tutto all'IT.
- Le sanzioni raggiungono 10 mln € o il 2% del fatturato mondiale per i soggetti essenziali, 7 mln € o l'1,4% per quelli importanti (art. 34).
- Il consiglio dovrebbe attendersi un reporting conciso e basato su evidenze — copertura, rapidità di remediation e rischio aperto — non una garanzia annuale.
La dirigenza è nominata e responsabile
Ai sensi dell'articolo 20, l'organo di gestione di un soggetto essenziale o importante deve approvare le misure di gestione dei rischi cyber del soggetto e vigilare sulla loro attuazione. Non è una formalità delegabile: la direttiva rende la dirigenza responsabile del fatto che le misure siano davvero in atto e funzionino.
È fondamentale che i membri degli organi di gestione possano essere ritenuti responsabili delle violazioni del soggetto. Questa responsabilità è iscritta nella direttiva stessa; la sua forma concreta dipende dal recepimento nazionale. La cybersicurezza è quindi una questione di governance, non solo IT — rientra nell'ordine del giorno del consiglio accanto al rischio finanziario e legale.
I quattro doveri di un organo di gestione
In pratica, le aspettative di governance della direttiva si riducono a quattro cose che la dirigenza deve fare:
- Approvare le misure — validare le misure di gestione dei rischi (la base dell'art. 21) con sufficiente comprensione di ciò che approvi.
- Vigilare sull'attuazione — assicurare che le misure siano effettivamente adottate ed efficaci nel tempo, con reporting periodico al consiglio.
- Seguire la formazione — i membri devono seguire una formazione sulla cybersicurezza per identificare i rischi e valutare l'adeguatezza delle misure (art. 20(2)); una formazione analoga va offerta al personale.
- Essere responsabile — assumersi il risultato. La responsabilità per le carenze ricade sull'organo di gestione e le autorità di controllo possono agire direttamente sulla dirigenza.
Domande da porre al tuo team di sicurezza
Non serve essere un ingegnere della sicurezza per esercitare la vigilanza. Un consiglio può assolvere gran parte del proprio dovere ponendo le domande giuste e pretendendo risposte basate su evidenze:
Com'è un buon reporting al consiglio
La vigilanza ha bisogno di un segnale, non di un allegato di 60 pagine. Una linea di reporting NIS2 utile al consiglio è breve, comparabile nel tempo e basata su evidenze:
Copertura
Quale quota di fornitori e asset nell'ambito è effettivamente monitorata — le sorprese arrivano dalle lacune.
Rapidità di remediation
Tempo medio per risolvere i rilievi critici e alti — la tendenza conta più di qualsiasi singolo numero.
Rischio aperto
I rilievi critici/alti attuali e i rischi documentati e accettati — NIS2 si aspetta rischio gestito, non zero rilievi.
Prontezza agli incidenti
I termini di notifica possono essere rispettati, e sono stati provati, anche per incidenti causati da fornitori?
Quanto costa sbagliare — e riuscire
Le sanzioni ai sensi dell'articolo 34 raggiungono fino a 10 milioni € o il 2% del fatturato annuo mondiale totale (il maggiore dei due) per i soggetti essenziali, e fino a 7 milioni € o l'1,4% per quelli importanti. Le autorità di controllo possono inoltre emettere istruzioni vincolanti, ordinare la divulgazione degli incidenti e — per i soggetti essenziali — sospendere temporaneamente funzioni dirigenziali. Per la dirigenza, l'esposizione reputazionale e la responsabilità personale possono pesare più della sanzione stessa.
Fatto bene, si tratta spesso meno di nuova spesa che di riutilizzare controlli esistenti: le misure dell'art. 21 si sovrappongono ampiamente a controlli che molte organizzazioni già gestiscono (ISO 27001, continuità operativa, controllo degli accessi). Lo spostamento imposto da NIS2 va dalla garanzia puntuale a una gestione continua e basata su evidenze — il che rende anche il reporting di vigilanza davvero informativo anziché formale.
Fonte: Direttiva (UE) 2022/2555 (NIS2), articoli 20 e 34 — consulta la tua legge nazionale di recepimento per le esatte disposizioni su responsabilità e formazione nel tuo Paese.
Come aiuta norppa.io
norppa.io trasforma il rischio cyber di fornitori e terze parti nel tipo di evidenza che un consiglio può davvero usare: un punteggio di rischio chiaro per fornitore, rilievi mappati agli articoli NIS2 e un report direzionale mensile pensato per la dirigenza e non per gli ingegneri.
Copertura, storico della remediation e rischio aperto sono visibili a colpo d'occhio, con la pista di audit completa esportabile — così la dirigenza può dimostrare una vigilanza attiva, e la stessa evidenza risponde alle domande di un'autorità di controllo.