NIS2: le attività si possono delegare, la responsabilità del vertice no
L’Agenzia per la cybersicurezza nazionale ha aggiornato, il 14 luglio 2026, le FAQ dedicate agli obblighi degli organi di amministrazione e direttivi dei soggetti NIS. L’intervento integra le FAQ ODA.8 e ODA.9 e introduce le nuove FAQ ODA.10, ODA.11 e ODA.12, chiarendo uno dei punti più delicati nell’attuazione del Decreto NIS: il confine tra responsabilità strategica del vertice e gestione tecnico-operativa della cybersicurezza.
Il vertice resta responsabile
L’articolo 23 del D.Lgs. 138/2024 attribuisce direttamente agli organi di amministrazione e direttivi dei soggetti essenziali e importanti cinque obblighi fondamentali.
Essi devono:
- approvare le modalità di implementazione delle misure di gestione dei rischi per la sicurezza informatica;
- sovrintendere all’implementazione degli obblighi previsti dalla disciplina NIS;
- rispondere delle violazioni del decreto;
- seguire una formazione in materia di sicurezza informatica;
- promuovere periodicamente una formazione coerente per i dipendenti.
Gli organi devono inoltre essere informati periodicamente o, quando necessario, tempestivamente, sugli incidenti e sulle relative notifiche.
Le FAQ ACN chiariscono che può essere delegato lo svolgimento delle attività necessarie per dare attuazione a tali obblighi. Possono quindi essere affidate alle funzioni competenti la predisposizione dei documenti, le analisi, le attività tecniche, il monitoraggio operativo e l’implementazione delle misure.
La delega, tuttavia, non trasferisce gli obblighi né la responsabilità che la legge attribuisce agli organi di amministrazione e direttivi. Il vertice può organizzare il lavoro, ma non può spostare su un singolo amministratore, sul CISO, sulla funzione IT o su un consulente esterno la responsabilità che discende direttamente dall’articolo 23.
L’approvazione non può essere trasferita a una funzione tecnica
Uno dei chiarimenti più rilevanti riguarda l’approvazione della documentazione prevista dalle specifiche di base ACN.
L’approvazione deve rimanere in capo all’organo di amministrazione nella sua collegialità oppure, quando previsto dall’ordinamento del soggetto, all’organo monocratico. Non può essere attribuita a un singolo componente del consiglio, a un comitato tecnico o a una funzione aziendale. La nomina di un responsabile della cybersicurezza o l’attribuzione di deleghe operative non sostituiscono quindi la decisione formale e consapevole dell’organo competente.
I documenti che devono essere approvati
La FAQ ODA.10 individua la documentazione che deve essere sottoposta all’approvazione degli organi di amministrazione e direttivi:
- organizzazione per la sicurezza informatica;
- politiche di sicurezza informatica;
- valutazione del rischio posto alla sicurezza dei sistemi informativi e di rete;
- piano di trattamento del rischio;
- piano di gestione delle vulnerabilità;
- piano di adeguamento;
- piano di continuità operativa;
- piano di ripristino in caso di disastro;
- piano per la gestione delle crisi;
- piano di formazione;
- piano per la gestione degli incidenti di sicurezza informatica.
L’elenco trova corrispondenza nelle specifiche di base adottate da ACN e nell’Appendice C della relativa Guida alla lettura.
Il Consiglio approva la strategia, non ogni dettaglio tecnico
ACN precisa che i documenti sottoposti al vertice devono rappresentare le misure di sicurezza almeno a livello di indirizzo e pianificazione strategica.
Devono quindi consentire agli organi di amministrazione e direttivi di comprendere:
- quali rischi sono stati individuati;
- quali obiettivi di sicurezza sono stati stabiliti;
- quali responsabilità sono state attribuite;
- quali interventi sono programmati;
- quali risorse risultano necessarie;
- con quali modalità saranno verificati attuazione ed efficacia delle misure.
Non è invece necessario inserire nei documenti approvati dal vertice ogni configurazione tecnica, sequenza operativa o istruzione di dettaglio.
Procedure tecniche, istruzioni operative, manuali, protocolli e altri presidi organizzativi possono essere predisposti, gestiti e aggiornati dalle funzioni competenti.
Un documento unico o più documenti coordinati
Le FAQ ODA.11 e ODA.12 chiariscono inoltre che ACN non impone un unico modello formale di documentazione.
Il soggetto NIS può raccogliere gli indirizzi richiesti in un documento unitario oppure distribuirli tra più policy e piani coordinati, purché tutti i contenuti previsti dalle specifiche di base siano presenti, coerenti e chiaramente riconducibili alle rispettive responsabilità.
Anche i presidi tecnici e organizzativi richiamati dai documenti strategici possono essere mantenuti separatamente. Il loro aggiornamento non comporta automaticamente la necessità di sottoporre nuovamente al vertice tutti i documenti strategici che li richiamano, quando l’aggiornamento non modifica gli indirizzi e i contenuti già approvati.
La cybersicurezza diventa una responsabilità di governo
Il chiarimento di ACN consolida un principio fondamentale della disciplina NIS2: la cybersicurezza non è più una materia confinata alla funzione informatica.
Le strutture tecniche progettano, implementano e aggiornano le misure. Gli organi di amministrazione e direttivi devono invece decidere gli indirizzi, approvare i piani, assegnare responsabilità e risorse, sovrintendere all’attuazione e verificare che il sistema sia realmente adeguato.
La delega serve a organizzare l’esecuzione. Non può diventare uno strumento per allontanare dal vertice la responsabilità che il legislatore gli ha espressamente attribuito.
La frase finale “La delega organizza l’esecuzione, ma non trasferisce la responsabilità” è una sintesi editoriale, non una citazione letterale di ACN, ma è pienamente coerente con l’articolo 23 e con le FAQ verificate.
