Una delle novità più significative introdotte dal D.Lgs. 138/2024 — il decreto che recepisce la Direttiva NIS2 in Italia — riguarda chi risponde in prima persona in caso di violazioni. La cybersicurezza non è più una questione delegabile al reparto IT: la legge la colloca esplicitamente al livello della governance aziendale, con obblighi diretti per amministratori e dirigenti.
Cosa dice l’articolo 23 del decreto
L’articolo 23 del D.Lgs. 138/2024 assegna agli organi di amministrazione e direttivi dei soggetti essenziali e importanti un ruolo di guida strategica, imponendo obblighi che non possono essere semplicemente trasferiti ad altri. L’execution può essere delegata, ma la supervisione resta in capo alla governance.
In concreto, gli organi di amministrazione e direttivi devono approvare le modalità di implementazione delle misure di gestione dei rischi, monitorarne l’attuazione e occuparsi della formazione in materia di sicurezza informatica.
Il D.Lgs. 138/2024 segna un cambio di paradigma: la sicurezza informatica non è più confinata alle funzioni tecniche, ma diviene un elemento strutturale della direzione aziendale e una responsabilità non delegabile degli organi apicali.
La formazione obbligatoria per CdA e dirigenti
Gli amministratori e i dirigenti sono chiamati a partecipare personalmente a percorsi formativi dedicati alla sicurezza informatica, al fine di acquisire le conoscenze necessarie per affrontare e comprendere i rischi associati alle loro attività e ai servizi erogati. L’estensione di tale obbligo alla classe dirigente rappresenta un’evoluzione di portata significativa, che riconosce la centralità del ruolo decisionale nella gestione integrata dei rischi.
I membri del Consiglio di Amministrazione, gli Amministratori Delegati e i direttori generali con poteri decisionali sono soggetti a un preciso obbligo di legge. L’obiettivo della formazione è che i vertici aziendali acquisiscano le competenze necessarie a comprendere a fondo i rischi informatici.
La mancata erogazione delle attività al personale e agli organi di vertice, insieme all’assenza dei documenti che ne provino lo svolgimento, rappresenta una violazione diretta dei doveri di sicurezza e governance stabiliti dagli articoli 23 e 24 del D.Lgs. 138/2024.
Le implicazioni sul piano del diritto societario
Il quadro normativo NIS2 si intreccia con il diritto societario su un punto preciso. La mancata adozione delle misure previste dall’articolo 23 potrebbe integrare una violazione del dovere di diligenza degli amministratori ai sensi dell’articolo 2086 del Codice Civile, che impone ai vertici delle organizzazioni di dotare l’impresa di assetti adeguati. In presenza di un incidente cyber con danni patrimoniali rilevanti, soci e creditori sociali potrebbero agire in responsabilità nei confronti degli amministratori che non hanno adottato le misure richieste dalla normativa.
I passi concreti che il management deve fare
Tradotto in azioni operative, il management deve: portare il tema NIS2 all’ordine del giorno del CdA; avviare un percorso di formazione specifica in materia di cybersicurezza per amministratori e dirigenti; approvare formalmente gli undici documenti strategici richiesti dalle Linee Guida ACN del 4 settembre 2025; verificare che i processi di notifica incidenti al CSIRT Italia siano operativi; censire i fornitori critici e avviare una valutazione del rischio della catena di approvvigionamento.
L’attuazione pratica richiede evidenze documentali di approvazioni e riesami periodici. Non basta quindi che il CdA discuta il tema in una riunione: servono verbali, approvazioni formali e documentazione tracciabile che dimostri un presidio continuo.
Perché questo riguarda anche le strutture sanitarie
Il settore sanitario rientra tra quelli ad alta criticità dell’Allegato I. Per le strutture che erogano assistenza — RSA, case di riposo, ambulatori, presidi ospedalieri privati — la responsabilità del direttore sanitario e del management si sovrappone agli obblighi NIS2 in modo particolarmente stringente. Dadonet affianca le strutture sociosanitarie con un percorso integrato di cybersecurity per la sanità, che include audit, gap analysis e supporto alla registrazione ACN.
Per chi opera in contesti diversi e vuole costruire le competenze tecniche di base per lavorare in ambito cybersecurity, i corsi e-learning di Dadonet offrono formazione on-line pre-registrata in lingua inglese, con la flessibilità di studiarla nei propri tempi.
