ACN aggiorna le FAQ NIS 2 sulle responsabilità degli organi

Con l’aggiornamento pubblicato il 23 luglio 2026, l’Agenzia per la Cybersicurezza Nazionale (ACN) ha ampliato il documento delle FAQ dedicate agli obblighi degli organi di amministrazione e direttivi dei soggetti NIS, introducendo tre nuovi chiarimenti (FAQ ODA.10, ODA.11 e ODA.12) che si affiancano alle precedenti FAQ ODA.8 e ODA.9. L’intervento dell’Autorità si inserisce nel più ampio percorso di attuazione del decreto legislativo 4 settembre 2024, n. 138, di recepimento della Direttiva (UE) 2022/2555 (NIS 2), e contribuisce a definire con maggiore precisione il ruolo della governance aziendale nella gestione del rischio informatico. In tema abbiamo pubblicato il Master in Cybersecurity e compliance integrata – NIS2, GDPR, DORA, AI Act e CRA: le interazioni e gli obblighi per imprese e pubbliche amministrazioni. Abbiamo anche pubblicato il volume NIS 2 ed Evoluzione della Cybersicurezza Nazionale, disponibile su Shop Maggioli e su Amazon

1. La governance quale pilastro della Direttiva NIS 2

Uno degli elementi maggiormente innovativi della Direttiva (UE) 2022/2555 consiste proprio nell’aver elevato la governance della cybersicurezza a componente essenziale del sistema di gestione dei rischi aziendali.
L’articolo 20 della Direttiva NIS 2 dispone che gli organi di gestione dei soggetti essenziali e importanti debbano approvare le misure di gestione del rischio per la cybersicurezza adottate dall’organizzazione, vigilare sulla loro concreta attuazione e rispondere delle eventuali violazioni degli obblighi previsti dalla normativa. La disposizione impone inoltre che i componenti degli organi di gestione partecipino periodicamente ad attività formative specificamente dedicate alla cybersicurezza, così da poter esercitare le proprie funzioni con adeguata consapevolezza.
Il legislatore nazionale ha recepito tali principi nell’articolo 23 del d.lgs. n. 138/2024, attribuendo agli organi di amministrazione e direttivi tre responsabilità fondamentali:

• approvare le modalità di implementazione delle misure di gestione del rischio per la cybersicurezza;
• sovrintendere all’attuazione delle misure adottate;
• partecipare a specifici percorsi di formazione in materia di cybersicurezza, promuovendo contestualmente la formazione del personale.

L’impostazione della disciplina appare coerente con una tendenza ormai consolidata nel diritto europeo, che negli ultimi anni ha progressivamente valorizzato la responsabilizzazione degli organi di vertice quale strumento di effettività delle discipline regolatorie. Il parallelo con il Regolamento (UE) 2016/679 (GDPR) risulta evidente: anche in materia di protezione dei dati personali il principio di accountability impone ai titolari del trattamento non soltanto di rispettare gli obblighi previsti dalla normativa, ma anche di dimostrarne costantemente l’adempimento.
La NIS 2 trasferisce tale logica nell’ambito della cybersicurezza. Non è sufficiente che l’organizzazione disponga di misure tecniche adeguate; occorre che tali misure siano il risultato di una precisa scelta gestionale, approvata dagli organi competenti e costantemente monitorata nel tempo.
Ne deriva una significativa evoluzione del ruolo degli amministratori. Essi non possono più limitarsi ad approvare investimenti tecnologici o a delegare integralmente le decisioni al Chief Information Security Officer (CISO), ai responsabili ICT o ai consulenti esterni. Al contrario, sono chiamati a esercitare una vera funzione di indirizzo strategico, assicurandosi che l’organizzazione disponga di un sistema di gestione del rischio coerente con il proprio livello di esposizione. Abbiamo pubblicato in tema il volume NIS 2 ed Evoluzione della Cybersicurezza Nazionale, disponibile su Shop Maggioli e su Amazon.

2. Le FAQ ACN quale strumento di soft law

In questo contesto assumono particolare rilevanza le FAQ pubblicate dall’ACN.
Come frequentemente avviene nei settori caratterizzati da una forte componente tecnica, il legislatore definisce i principi generali demandando poi all’Autorità competente il compito di chiarirne gli aspetti applicativi. Le FAQ non introducono nuovi obblighi, ma svolgono una funzione interpretativa particolarmente importante, consentendo ai soggetti NIS di comprendere le modalità operative attraverso cui adempiere alle prescrizioni normative.
La loro importanza pratica è destinata a crescere nei prossimi mesi, soprattutto in vista delle ulteriori scadenze previste dal calendario di attuazione del decreto legislativo n. 138/2024 e delle determinazioni adottate dall’ACN. Le organizzazioni sono infatti chiamate non soltanto a predisporre misure tecniche di sicurezza, ma anche a dimostrare che tali misure siano state approvate, monitorate e costantemente aggiornate dagli organi competenti.
Le FAQ contribuiscono quindi a ridurre il rischio di interpretazioni difformi e rappresentano un parametro operativo di particolare interesse anche nell’ambito delle future attività ispettive dell’ACN. Pur non avendo natura vincolante, esse costituiscono infatti l’interpretazione ufficiale fornita dall’Autorità cui il legislatore ha affidato il compito di vigilare sull’attuazione della disciplina NIS 2.
Da questo punto di vista, il loro valore è analogo a quello delle linee guida adottate da altre autorità indipendenti: esse non innovano l’ordinamento, ma orientano concretamente il comportamento dei destinatari, contribuendo a delineare il livello di diligenza organizzativa che ci si attende dai soggetti obbligati.
Proprio in tale prospettiva devono essere lette le FAQ ODA.8 e ODA.9, già pubblicate nei mesi scorsi, e le più recenti FAQ ODA.10, ODA.11 e ODA.12, che completano il quadro interpretativo relativo agli obblighi degli organi di amministrazione e direttivi.

3. Le FAQ ODA.8 e ODA.9: il consolidamento del ruolo dell’organo di amministrazione

Le FAQ ODA.8 e ODA.9, pubblicate dall’ACN in una fase iniziale dell’attuazione della disciplina NIS 2, avevano già contribuito a delineare un principio destinato a caratterizzare l’intero sistema della governance della cybersicurezza: la responsabilità degli organi di amministrazione non può essere considerata meramente formale, né può essere soddisfatta attraverso una semplice presa d’atto delle attività svolte dalle funzioni tecniche.
Dalla lettura coordinata delle risposte emerge chiaramente come l’adempimento previsto dall’art. 23 del d.lgs. n. 138/2024 richieda un coinvolgimento effettivo dell’organo amministrativo nel processo decisionale relativo alla gestione del rischio cyber. L’approvazione delle modalità di implementazione delle misure di sicurezza costituisce, infatti, un vero e proprio atto di governo, che implica la conoscenza delle scelte organizzative, delle priorità di intervento, delle risorse economiche necessarie e del livello di rischio accettabile per l’organizzazione.
L’ACN chiarisce, in sostanza, che l’organo di amministrazione non è chiamato a valutare il dettaglio tecnico delle singole misure di sicurezza – attività che rimane demandata alle strutture competenti – bensì a verificare che l’organizzazione abbia adottato un sistema di gestione del rischio coerente con gli obblighi imposti dalla normativa e adeguato alla natura dei servizi erogati.
La distinzione tra funzione strategica e funzione operativa assume particolare rilievo anche sotto il profilo della responsabilità. Gli amministratori non devono trasformarsi in esperti di sicurezza informatica, ma devono essere in grado di comprendere le principali implicazioni delle decisioni assunte, valutare le informazioni ricevute dalle funzioni competenti e assicurare che la cybersicurezza venga stabilmente integrata nei processi di governance aziendale.
a alcun trasferimento delle responsabilità attribuite dalla legge agli organi di vertice.

4. L’aggiornamento del luglio 2026: le nuove FAQ ODA.10, ODA.11 e ODA.12

Con l’aggiornamento pubblicato dall’ACN il 23 luglio 2026, il quadro interpretativo viene ulteriormente arricchito attraverso l’introduzione delle FAQ ODA.10, ODA.11 e ODA.12. Le nuove risposte non modificano l’impianto normativo delineato dal decreto legislativo n. 138/2024, ma ne precisano alcuni profili applicativi particolarmente rilevanti, offrendo indicazioni operative ai soggetti essenziali e importanti.
Viene ribadita la centralità dell’organo di amministrazione quale destinatario degli obblighi di governance previsti dall’art. 23 del decreto legislativo n. 138/2024. L’adempimento non può essere interpretato come un mero obbligo documentale o come un passaggio burocratico da assolvere mediante l’approvazione formale di atti predisposti dagli uffici tecnici. Al contrario, l’organo amministrativo è chiamato a esercitare una funzione di indirizzo e controllo sostanziale, verificando che le misure organizzative e tecniche siano effettivamente coerenti con il profilo di rischio dell’organizzazione.
La normativa non impone che gli amministratori elaborino direttamente le misure di sicurezza, ma richiede che essi siano messi nelle condizioni di comprenderne contenuti, finalità e impatti, così da poter assumere decisioni consapevoli e motivatamente approvare le strategie di gestione del rischio.
Infine, l’ACN pone l’accento sull’importanza della tracciabilità del processo decisionale. La governance della cybersicurezza non può fondarsi su prassi informali o su decisioni prive di adeguata evidenza documentale. Le deliberazioni degli organi amministrativi, le attività di monitoraggio e le verifiche periodiche costituiscono elementi essenziali ai fini della dimostrazione dell’adempimento degli obblighi previsti dalla disciplina NIS 2.

5. FAQ ODA.10: l’approvazione delle modalità di implementazione delle misure di sicurezza

Tra i chiarimenti maggiormente significativi introdotti dall’ACN vi è quello relativo al significato dell’obbligo di approvazione delle modalità di implementazione delle misure di gestione del rischio.
La risposta dell’Agenzia consente di superare una delle principali incertezze interpretative emerse nei primi mesi di applicazione della disciplina. Numerosi operatori si erano infatti interrogati sull’estensione dell’attività richiesta agli organi amministrativi, chiedendosi se fosse necessario approvare ogni singola misura tecnica oppure se fosse sufficiente deliberare un quadro complessivo delle politiche di sicurezza.
Le indicazioni dell’ACN si collocano chiaramente nella seconda direzione.
L’approvazione richiesta dall’art. 23 del d.lgs. n. 138/2024 riguarda l’impostazione generale del sistema di gestione del rischio e non implica un coinvolgimento diretto nelle scelte tecniche di dettaglio. Gli organi amministrativi devono essere posti nelle condizioni di comprendere le logiche sottese alle misure proposte, i principali rischi affrontati, gli investimenti necessari e le conseguenze organizzative delle decisioni assunte.
L’approccio risulta pienamente coerente con la filosofia della NIS 2, che attribuisce agli organi di vertice un ruolo di indirizzo strategico e non di gestione operativa.
Dal punto di vista pratico, ciò significa che il Consiglio di amministrazione o l’organo equivalente dovrebbe deliberare, ad esempio, l’adozione del framework di gestione del rischio, approvare il piano pluriennale di cybersecurity, definire gli indirizzi strategici relativi agli investimenti in sicurezza e ricevere periodicamente informazioni sullo stato di attuazione delle misure.
Non appare invece necessario che il medesimo organo approvi il contenuto tecnico di ogni configurazione informatica, di ogni aggiornamento software o di ciascuna misura di hardening dei sistemi.
Questa distinzione assume particolare rilievo anche sotto il profilo della responsabilità degli amministratori, poiché consente di delimitare il perimetro del loro obbligo di vigilanza senza trasformarlo in un’impropria responsabilità tecnica.

6. FAQ ODA.11: la supervisione quale attività continuativa

Un ulteriore profilo affrontato dall’ACN riguarda la funzione di supervisione prevista dall’art. 23 del decreto legislativo n. 138/2024.
La vigilanza dell’organo amministrativo non può essere interpretata come un’attività episodica, limitata all’approvazione iniziale delle misure di sicurezza. Essa deve invece caratterizzarsi come un processo continuo, destinato ad accompagnare l’intero ciclo di vita del sistema di gestione della cybersicurezza.
La supervisione implica, pertanto, la ricezione di report periodici, l’analisi degli indicatori di rischio, la verifica dello stato di attuazione delle misure pianificate, l’esame degli incidenti verificatisi e delle azioni correttive adottate.
In tale prospettiva, assume particolare importanza la definizione di un sistema di reporting strutturato tra le funzioni tecniche e gli organi amministrativi. Solo attraverso un flusso informativo costante è infatti possibile dimostrare che la vigilanza richiesta dalla normativa sia stata effettivamente esercitata.
Per molte organizzazioni ciò comporterà una revisione dei propri modelli di governance, prevedendo l’inserimento stabile della cybersicurezza tra gli argomenti trattati dal Consiglio di amministrazione o dall’organo direttivo, analogamente a quanto già avviene per il controllo interno, la gestione dei rischi finanziari o la compliance normativa.

7. FAQ ODA.12: la formazione degli organi di amministrazione come obbligo di governance

L’ultima delle nuove FAQ introdotte dall’ACN affronta un tema spesso sottovalutato, ma destinato ad assumere un’importanza crescente nell’attuazione della disciplina NIS 2: la formazione degli organi di amministrazione e direttivi.
L’art. 23 del d.lgs. 4 settembre 2024, n. 138, in attuazione dell’art. 20 della Direttiva (UE) 2022/2555, non si limita infatti ad imporre agli organi di vertice di approvare e vigilare sulle misure di gestione del rischio per la cybersicurezza, ma stabilisce espressamente che essi debbano seguire una formazione in materia di cybersicurezza e promuovere analoghe iniziative formative rivolte ai dipendenti.
La previsione rappresenta una significativa novità rispetto alla precedente Direttiva NIS del 2016. Il legislatore europeo ha preso atto che la crescente sofisticazione delle minacce informatiche rende insufficiente una governance affidata esclusivamente alle competenze tecniche delle strutture ICT. Per poter assumere decisioni realmente consapevoli, gli amministratori devono possedere un livello minimo di alfabetizzazione in materia di rischio cyber.
La FAQ chiarisce che tale obbligo non può essere interpretato in senso meramente formale. Non è sufficiente, cioè, organizzare un incontro occasionale o acquisire una generica informativa sulla normativa. La formazione deve consentire ai componenti dell’organo amministrativo di comprendere gli obblighi previsti dalla disciplina NIS 2, le responsabilità che ne derivano, le principali minacce informatiche cui l’organizzazione è esposta e le modalità attraverso cui vengono gestiti i rischi.
Si tratta di un’impostazione perfettamente coerente con la logica della responsabilizzazione (“accountability”) che permea l’intera disciplina europea della compliance. Anche nel GDPR, infatti, il legislatore non richiede soltanto l’adozione di misure tecniche e organizzative adeguate, ma pretende che il titolare del trattamento sia in grado di comprenderne il significato e di dimostrarne la concreta efficacia.
L’ACN sembra quindi voler affermare un principio destinato ad incidere profondamente sulla cultura organizzativa delle imprese e delle pubbliche amministrazioni: la cybersicurezza costituisce una competenza manageriale, non esclusivamente informatica.
Ne deriva che la formazione degli amministratori non rappresenta un adempimento accessorio, ma uno strumento indispensabile affinché l’organo di governo possa esercitare in modo effettivo le funzioni di indirizzo e vigilanza attribuitegli dalla legge.

8. Conclusioni

L’aggiornamento delle FAQ sugli obblighi degli organi di amministrazione e direttivi conferma la volontà dell’ACN di accompagnare i soggetti NIS nel percorso di attuazione del decreto legislativo n. 138/2024, fornendo indicazioni interpretative che, pur prive di efficacia normativa vincolante, costituiscono un importante punto di riferimento applicativo.
Le nuove FAQ ODA.10, ODA.11 e ODA.12 non introducono obblighi ulteriori rispetto a quelli previsti dalla Direttiva NIS 2 e dal decreto di recepimento, ma contribuiscono a precisarne il contenuto sostanziale, chiarendo che la governance della cybersicurezza non può essere ridotta ad un insieme di adempimenti formali.
Quale strumento di accountability, molte organizzazioni potrebbero valutare l’introduzione di una relazione periodica sulla cybersicurezza, da sottoporre con cadenza almeno semestrale all’organo amministrativo. Tale documento potrebbe rappresentare lo strumento attraverso cui il management tecnico rende conto dello stato di attuazione delle misure previste dagli articoli 24 e 25 del d.lgs. n. 138/2024, consentendo all’organo di governo di esercitare la propria funzione di supervisione.
Parimenti, assume rilievo la verbalizzazione delle decisioni adottate. Le deliberazioni relative all’approvazione delle misure di gestione del rischio, agli investimenti in materia di cybersecurity, ai programmi formativi e alle attività di monitoraggio dovrebbero essere adeguatamente documentate nei verbali degli organi collegiali. In un eventuale procedimento ispettivo o sanzionatorio, tale documentazione potrebbe infatti costituire un elemento essenziale per dimostrare l’effettivo adempimento degli obblighi di governance.

Formazione per professionisti

Master in Cybersecurity e compliance integrata – NIS2, GDPR, DORA, AI Act e CRA: le interazioni e gli obblighi per imprese e pubbliche amministrazioni
Il Master, giunto alla III edizione, è un percorso formativo avanzato pensato per imprese e pubbliche amministrazioni, professionisti, DPO, responsabili IT, compliance officer e consulenti legali che operano nel settore della sicurezza informatica e della governance normativa delle tecnologie digitali.
L’obiettivo del programma è fornire una visione sistematica, integrata e aggiornata della normativa europea e italiana in materia di cybersicurezza, affrontando in chiave applicativa i principali riferimenti normativi, dalle Direttive NIS alla regolamentazione dei sistemi di intelligenza artificiale, passando per i regolamenti complementari e gli atti attuativi nazionali.
Attraverso un approccio teorico-pratico, il master esplora:
• L’evoluzione della strategia europea di cybersicurezza.
• L’impianto della Direttiva NIS 2 e il D.lgs. 138/2024, con approfondimento su soggetti obbligati, misure tecniche e regimi sanzionatori.
• Il Perimetro nazionale di sicurezza cibernetica e la Legge n. 90/2024 come strumenti di difesa strategica dello Stato.
• Le interazioni con normative chiave come il GDPR, il Cybersecurity Act, il Digital Operational Resilience Act (DORA) e il Cyber Resilience Act (CRA).
• Il regolamento AI Act, che disciplina lo sviluppo, l’uso e il controllo dei sistemi di intelligenza artificiale in Europa.
• Le responsabilità aziendali e degli amministratori, la governance interna della cybersicurezza e le strategie di compliance integrata.
Il percorso è arricchito da esempi pratici, simulazioni di audit, check list operative e riferimenti normativi aggiornati, utili per implementare con efficacia le disposizioni di legge nei diversi contesti organizzativi.
>>>Per info ed iscrizioni<<<

Vuoi ricevere aggiornamenti costanti?

Salva questa pagina nella tua Area riservata di Diritto.it e riceverai le notifiche per tutte le pubblicazioni in materia. Inoltre, con le nostre Newsletter riceverai settimanalmente tutte le novità normative e giurisprudenziali!
Iscriviti!