Vai al contenuto

NIS2 e responsabilità del CdA: la governance cyber non si delega al manuale tecnico

NIS2 e responsabilità del CdA: la governance cyber non si delega al manuale tecnico

Le ultime FAQ pubblicate da ACN sugli obblighi degli organi di amministrazione e direttivi dei soggetti NIS arrivano in un momento molto concreto per imprese ed enti: la compliance NIS2 non è più soltanto un tema di perimetro, registrazione o classificazione. Diventa un tema di governo.

Il 14 luglio 2026 l’Agenzia per la Cybersicurezza Nazionale ha aggiornato le FAQ dedicate agli obblighi degli organi di amministrazione e direttivi dei soggetti NIS, integrando le FAQ ODA.8 e ODA.9 e introducendo le nuove FAQ ODA.10, ODA.11 e ODA.12. Il punto centrale è il confine tra ciò che deve rimanere in capo al vertice e ciò che può essere gestito dalle funzioni tecniche e operative.

È un chiarimento importante perché molte organizzazioni, davanti alla NIS2, rischiano due errori opposti: da un lato trattare la cybersecurity come materia da lasciare interamente al CISO o all’IT; dall’altro portare in consiglio di amministrazione ogni procedura, istruzione operativa o manuale tecnico, trasformando la governance in burocrazia. Nessuna delle due strade è sostenibile.

Cosa chiariscono le nuove FAQ ACN

Le FAQ aggiornate confermano un principio semplice: l’approvazione dei documenti previsti dall’articolo 23 del decreto NIS è una competenza dell’organo di amministrazione o direttivo. Se l’organo è collegiale, la competenza resta dell’organo collegiale; se è monocratico, resta dell’organo monocratico previsto dall’assetto dell’ente.

Questo non significa, però, che il vertice debba scrivere o approvare ogni dettaglio tecnico. Le attività necessarie all’attuazione operativa degli obblighi possono essere delegate alle strutture competenti. La delega operativa è fisiologica; la responsabilità di indirizzo, approvazione e supervisione non deve diventare una finzione.

La FAQ ODA.10, secondo quanto pubblicato da ACN, precisa il livello di dettaglio richiesto nei documenti da sottoporre agli organi di amministrazione e direttivi. Il contenuto deve arrivare almeno al livello degli indirizzi e della pianificazione strategica delle misure di sicurezza. In altre parole: il vertice deve poter comprendere il modello di rischio, le priorità, le responsabilità, le risorse e il percorso di attuazione.

La documentazione tecnica e operativa, invece, può essere regolata attraverso procedure, istruzioni, manuali, registri e altri presidi predisposti dalle funzioni competenti. Questo passaggio è decisivo: un consiglio di amministrazione non governa la cybersicurezza firmando manuali tecnici, ma approvando una cornice chiara, verificabile e coerente con il rischio dell’organizzazione.

Governance non vuol dire micro-gestione

Il chiarimento ACN aiuta a distinguere tre livelli che spesso vengono confusi.

Il primo livello è strategico: definisce obiettivi, responsabilità, criteri di rischio, priorità di investimento, metriche di controllo, ruoli decisionali e modalità di reporting. Questo è il livello che deve essere compreso e approvato dal vertice.

Il secondo livello è organizzativo: traduce gli indirizzi in processi, ruoli, flussi di escalation, gestione degli incidenti, gestione dei fornitori, continuità operativa, formazione e presidio documentale. Qui il vertice deve ricevere evidenze e aggiornamenti, ma non necessariamente approvare ogni artefatto operativo.

Il terzo livello è tecnico: configurazioni, playbook, istruzioni operative, manuali, procedure di dettaglio, check tecnici, registri di vulnerabilità, attività di monitoraggio e strumenti di detection. Questo livello deve essere aggiornabile rapidamente, perché le minacce cambiano più velocemente dei calendari dei consigli di amministrazione.

La governance NIS2 funziona quando questi tre livelli sono collegati. Non funziona quando il vertice approva documenti che non legge davvero, oppure quando il reparto tecnico opera senza una chiara assunzione di responsabilità da parte dell’organizzazione.

Perché il tema riguarda anche chi non è ancora maturo

Il quadro europeo conferma che la maturità cyber dei settori critici non si misura solo con la presenza di strumenti tecnici. ENISA, nel ciclo NIS360, considera la maturità come combinazione di efficacia normativa, preparazione delle organizzazioni, capacità delle autorità e strutture dell’ecosistema settoriale. La survey NIS360 avviata il 1 luglio 2026 rafforza proprio questa logica: servono dati comparabili, benchmark e capacità di capire dove un settore o un’organizzazione si colloca rispetto ai pari.

Questo approccio è coerente anche con il Risk Management Framework del NIST, che descrive la gestione del rischio come un processo ripetibile: preparare, categorizzare, selezionare, implementare, valutare, autorizzare e monitorare. La lezione pratica è chiara: la sicurezza non è una dichiarazione annuale, ma un ciclo di governo.

Per un soggetto NIS, quindi, l’aggiornamento delle FAQ ACN non dovrebbe essere letto come una semplificazione amministrativa fine a sé stessa. È piuttosto un invito a costruire una documentazione più intelligente: meno manuali portati al vertice solo per essere firmati, più evidenze capaci di dimostrare che le decisioni sono state prese con consapevolezza.

Cosa dovrebbe fare ora un’impresa o una PA soggetta a NIS2

La prima verifica riguarda la mappa delle responsabilità. Bisogna distinguere chiaramente chi approva la strategia, chi la attua, chi controlla l’avanzamento e chi porta al vertice le informazioni rilevanti. Una nomina formale, da sola, non basta se non è accompagnata da deleghe coerenti, flussi di reporting e criteri di escalation.

La seconda verifica riguarda i documenti di governo. Il soggetto NIS dovrebbe chiedersi se dispone di un documento, o di un insieme coordinato di documenti, capace di descrivere indirizzi, pianificazione, misure principali, responsabilità, tempi, priorità e indicatori. Non serve trasformare tutto in un unico fascicolo monumentale; serve evitare frammentazione, contraddizioni e documenti scollegati dalle decisioni effettive.

La terza verifica riguarda le procedure tecniche. Se ogni aggiornamento operativo richiede un passaggio formale del vertice, il sistema diventa lento. Se invece le procedure cambiano senza collegamento con la strategia approvata, il sistema diventa opaco. La soluzione è una struttura documentale a livelli: policy e indirizzi approvati dal vertice, procedure mantenute dalle funzioni competenti, evidenze raccolte in modo ordinato.

La quarta verifica riguarda i verbali e le evidenze. La responsabilità degli organi di amministrazione non si dimostra solo con la firma su una policy. Si dimostra con la capacità di provare che il rischio cyber è stato discusso, che sono state prese decisioni proporzionate, che le risorse sono state valutate e che lo stato di attuazione viene monitorato.

Una checklist operativa per il vertice

Un consiglio di amministrazione o un organo direttivo dovrebbe avere almeno queste evidenze sotto controllo:

  • perimetro NIS applicabile, servizi essenziali o importanti coinvolti e principali dipendenze digitali;
  • ruoli e responsabilità interni, compresi punto di contatto, funzioni tecniche, legale, compliance, procurement e direzione;
  • documento strategico sulle misure di sicurezza, con priorità e pianificazione;
  • criteri di valutazione del rischio, inclusi fornitori, supply chain, incidenti e continuità operativa;
  • piano di gestione degli incidenti e criteri di escalation verso il vertice;
  • flusso periodico di reporting con metriche comprensibili, non solo indicatori tecnici;
  • tracciabilità delle decisioni, degli aggiornamenti e delle eccezioni rilevanti.

Questa checklist non sostituisce l’analisi normativa e tecnica. Serve però a evitare un errore frequente: pensare che la NIS2 sia rispettata solo perché esiste un set di procedure informatiche. Le procedure sono indispensabili, ma devono poggiare su un modello di governo leggibile.

Il punto non è firmare di più, ma decidere meglio

Le FAQ ACN rendono più chiaro un principio che le organizzazioni dovrebbero adottare anche oltre l’obbligo normativo: la cybersecurity deve arrivare al vertice in forma decisionale. Non basta un report tecnico pieno di vulnerabilità, né una policy generica che promette sicurezza. Servono informazioni selezionate, responsabilità definite, scelte documentate e un ciclo di miglioramento.

Per le imprese e le PA, questa è anche un’occasione per rendere la compliance più utile. Un modello NIS2 ben costruito può migliorare la gestione dei fornitori, la continuità dei servizi, la risposta agli incidenti, la consapevolezza del management e la qualità degli investimenti. Un modello costruito solo per produrre documenti, invece, rischia di non reggere né a una crisi né a una verifica.

Se stai rivedendo la governance cyber della tua organizzazione, il passaggio più utile non è aggiungere l’ennesimo manuale. È verificare se il vertice riceve le informazioni giuste per decidere, approvare e controllare. Su questo posso aiutarti a impostare una lettura pratica degli obblighi NIS2, collegando ruoli, documenti, evidenze e processi in un modello realmente governabile.

Fonti

Tag:

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *