NIS 2 responsabilità amministratori: CDA, manager IT e posizione di garanzia

NIS 2 responsabilità amministratori: un anno fa scrivevamo di Cyber Hygiene e NIS 2 per le aziende IT, concentrandoci sulle misure tecniche e operative da adottare. L’analisi che segue è proposta dal punto di vista della gestione del rischio d’impresa e delle implicazioni assicurative per CDA e vertici aziendali. Da allora il quadro normativo si è fatto molto più concreto e, soprattutto, molto più personale. Il D.Lgs. 138/2024 ha spostato definitivamente l’asse della responsabilità dal singolo tecnico ai vertici aziendali. Il decreto non introduce nuovi reati specifici, ma aggrava drasticamente il profilo di responsabilità degli amministratori: sanzioni pecuniarie gravissime, sospensione dalle cariche sociali e — nei casi più gravi coinvolgenti infrastrutture critiche — il richiamo della posizione di garanzia prevista dall’art. 40 c.p. Chi non si è ancora adeguato non sta semplicemente rischiando una multa.

Come leggere questo approfondimento

Questo articolo affronta il tema dal punto di vista della governance, del rischio d’impresa e delle implicazioni assicurative. Le valutazioni tecnico-legali competono a professionisti specializzati: il ruolo di Pico Adviser è integrare questi profili nella strategia di risk management e nella costruzione delle coperture assicurative.

NIS 2 responsabilità amministratori — in sintesi: Il D.Lgs. 138/2024 impone ai CDA l’approvazione formale delle misure di sicurezza informatica, con sanzioni fino a 10 milioni di euro o al 2% del fatturato per i soggetti essenziali. Il rischio non è solo pecuniario: include la sospensione dall’incarico e, nei casi più gravi, profili penali da posizione di garanzia. Come broker attivo dal 1991, affianchiamo le aziende nella costruzione di un presidio assicurativo integrato con la governance NIS 2.

NIS 2 responsabilità amministratori: la svolta del D.Lgs. 138/2024

Il D.Lgs. 138/2024, che recepisce la Direttiva NIS 2 in Italia, ha introdotto una trasformazione radicale nella gestione delle imprese. La cybersicurezza è uscita definitivamente dai perimetri tecnici dei data center per collocarsi stabilmente nel cuore delle decisioni societarie. Fino al 2024, la cybersecurity veniva considerata una funzione delegata ai responsabili tecnici o al CISO, in una logica di compartimentazione delle responsabilità che escludeva di fatto gli organi di vertice da qualsiasi coinvolgimento operativo. Il nuovo quadro normativo scardina pertanto definitivamente questo approccio.

L’articolo 23 del Decreto stabilisce che i Consigli di Amministrazione non possono più limitarsi a ratificare decisioni altrui. Devono approvare formalmente le misure di gestione dei rischi informatici, analizzandone criticamente l’impatto e la proporzionalità rispetto alla natura dell’attività aziendale. Il silenzio informativo su vulnerabilità critiche o su carenze infrastrutturali diventa pertanto un illecito gestorio, che si salda direttamente con il dovere di agire con la diligenza richiesta dall’articolo 2392 del Codice civile.

La posizione di garanzia: art. 40 c.p. e NIS 2 responsabilità amministratori

Il profilo più dirompente del nuovo quadro normativo riguarda l’erosione dello scudo societario dietro cui spesso si celavano i dirigenti. Il D.Lgs. 138/2024 non crea nuovi reati specifici, ma stabilisce un principio di responsabilità personale degli organi di gestione per l’inottemperanza agli obblighi di sicurezza. Questo richiama direttamente l’art. 40, comma 2, del Codice Penale — la cosiddetta posizione di garanzia — secondo cui il non impedire un evento dannoso che si ha l’obbligo giuridico di evitare equivale a cagionarlo.

È importante precisare che questa responsabilità non è automatica: per configurarsi richiede un evento dannoso concreto, un nesso causale dimostrabile, la prevedibilità dell’evento e la sua evitabilità con una condotta diligente. La NIS 2 non genera responsabilità penale in sé, ma rafforza gli elementi che possono rendere penalmente rilevante un’omissione.

Si tratta di una costruzione giuridica applicabile soprattutto nei casi più gravi: attacchi che causano danni a infrastrutture critiche, interruzioni di servizi essenziali o eventi con conseguenze dirette su persone. Il rischio più immediato per la generalità degli amministratori rimane invece patrimoniale — azione di responsabilità dei soci e dei creditori — e interdittivo — rimozione temporanea dal ruolo. Come evidenziato da Paolo Galdieri su Red Hot Cyber, avvocato e docente specializzato in diritto penale informatico, la gestione del dato non è più solo una questione di privacy: è il cuore di una nuova posizione di garanzia con conseguenze giuridiche significative.

Vale la pena precisare che questa responsabilità riguarda le figure che rivestono una posizione apicale con poteri decisionali o di spesa effettivi, come definito dal combinato disposto degli artt. 23 e 38 del D.Lgs. 138/2024. Non si estende pertanto automaticamente a responsabili IT privi di poteri formali o a figure puramente esecutive.

La notifica degli incidenti: un obbligo con conseguenze serie

La NIS 2 impone obblighi rigorosi di segnalazione degli incidenti significativi allo CSIRT Italia (Computer Security Incident Response Team — l’autorità nazionale di risposta agli incidenti informatici) entro tempistiche estremamente ristrette. Gli obblighi di notifica NIS 2 hanno natura amministrativa: la loro violazione comporta pertanto sanzioni pecuniarie, non reati. Tuttavia, la manipolazione attiva dei log o il ritardo intenzionale nella comunicazione di un attacco per evitare danni reputazionali può configurare condotte ben più gravi. La Legge 90/2024 sulla Cybersicurezza Nazionale introduce e inasprisce reati specifici — come frode informatica e falsificazione — distinti e più gravi rispetto al semplice inadempimento degli obblighi di notifica.

Vuoi sapere se la tua polizza cyber è adeguata al nuovo scenario NIS 2?

Compila il modulo Contattaci

L’art. 2381 c.c.: il CDA non può più dire “non sapevo”

La NIS 2 responsabilità amministratori si salda con una disposizione fondamentale del Codice civile. L’art. 2381 c.c. (commi 3 e 6) impone agli amministratori il dovere di agire in modo informato e attribuisce al presidente del Consiglio di Amministrazione una responsabilità diretta sul flusso informativo preconsilare. Una norma che si integra perfettamente con gli obblighi già previsti dall’art. 2086 c.c. e dal D.Lgs. 14/2019 in materia di adeguati assetti organizzativi, amministrativi e contabili.

Come evidenziato dal Prof. Simone Brancozzi, il collegamento tra le norme è diretto e ineludibile: per rispettare il dovere di agire in modo informato sancito dall’art. 2381 c.c., il CDA deve poter disporre — tempestivamente e in forma strutturata — di dati economico-finanziari, indicatori di rischio, scenari prospettici e analisi del cash flow. Il raccordo con il Codice della Crisi d’Impresa è inevitabile: l’art. 2086 c.c. obbliga già ogni imprenditore a dotarsi di adeguati assetti organizzativi, amministrativi e contabili idonei a rilevare tempestivamente la crisi. Un’azienda senza adeguati assetti non può formare un dossier preconsiliare adeguato. Un presidente di CDA privo di dati strutturati e aggiornati non può pertanto assolvere all’obbligo di garanzia che la nuova norma gli impone.

Cosa deve approvare formalmente il CDA

La responsabilità del presidente non si limita al merito delle delibere — tradizionalmente protetto dalla business judgment rule — ma si estende al processo che le ha precedute. La norma richiede, per ogni punto all’ordine del giorno del CDA, una valutazione strutturata lungo tre assi:

• Finanziario: disponibilità di risorse, impatto sul cash flow, DSCR.
• Economico-organizzativo: proiezioni sul conto economico, fabbisogni di risorse umane e strutturali.
• Di rischio: identificazione, probabilità, impatto, scenari alternativi.

Dati che non si improvvisano la mattina della riunione: sono il frutto di un sistema di monitoraggio continuativo. Qui entra in gioco la Business Judgment Rule: un amministratore che segue un processo decisionale documentato e diligente — con analisi strutturata dei rischi, budget approvato e formazione certificata — non può essere ritenuto responsabile per il solo fatto che un attacco sia avvenuto. Il rischio zero non esiste. Ciò che la norma richiede pertanto non è l’infallibilità, ma la diligenza dimostrabile. È esattamente per questo che l’Analisi dei Rischi e la polizza cyber non sono costi: sono la documentazione che prova la diligenza del CDA.

NIS 2 responsabilità amministratori: le sanzioni previste

L’apparato sanzionatorio della NIS 2 è stato progettato per essere incisivo. Per i soggetti essenziali, le sanzioni amministrative pecuniarie possono arrivare fino a 10 milioni di euro o al 2% del fatturato globale annuo — il valore più alto tra i due. Per i soggetti importanti, il tetto scende a 7 milioni di euro o all’1,4% del fatturato. Accanto alle sanzioni pecuniarie, l’art. 25 del Decreto prevede la sospensione temporanea dall’incarico per gli organi di gestione responsabili delle violazioni — una misura che molti manager temono più delle stesse multe, poiché colpisce direttamente il ruolo e la reputazione professionale.

È importante precisare che questi obblighi riguardano i soggetti classificati come “essenziali” o “importanti” ai sensi del D.Lgs. 138/2024, categorie determinate in base a fatturato, numero di dipendenti e settore di attività. Prima di avviare qualsiasi piano di adeguamento, è pertanto necessario verificare se la propria azienda rientra nel perimetro NIS 2. Come evidenziato da Red Hot Cyber nell’analisi del D.Lgs. 138/2024, la compliance digitale diventa così un prerequisito legale e uno strumento di difesa contro le responsabilità civili e le sanzioni interdittive.

Vuoi verificare se le tue coperture assicurative cyber sono allineate agli obblighi NIS 2?

Compila il modulo Contattaci

Finché la cybersecurity resta all’IT, il rischio è già fuori controllo

Uno dei messaggi più diretti emersi dal dibattito sulla NIS 2 responsabilità amministratori viene da chi lavora quotidianamente con i vertici aziendali: “Finché la cybersecurity resta confinata all’IT, il rischio è già fuori controllo. Serve integrazione reale nei processi decisionali e responsabilità chiara a livello executive. La differenza non la fanno gli strumenti, ma il posizionamento del ruolo.” Una sintesi efficace di ciò che il D.Lgs. 138/2024 ha reso norma vincolante.

La supply chain rappresenta un ulteriore fronte di rischio. Un’azienda IT che fornisce servizi a soggetti NIS non può più limitarsi a garantire la qualità tecnica del proprio prodotto: deve dimostrare di aver adottato misure di sicurezza adeguate all’interno della catena di approvvigionamento. Il professionista IT non può pertanto ignorare i rischi che i propri strumenti possono introdurre nei sistemi del cliente.

La polizza cyber: presidio assicurativo nella governance NIS 2

In un contesto in cui la NIS 2 responsabilità amministratori è diventata operativa, la Polizza Cyber assume un ruolo nuovo e più strategico. Non si tratta solo di coprire i danni economici di un attacco: si tratta di un presidio di governance che dimostra all’ACN, ai clienti e ai soci che i rischi cyber sono stati identificati, valutati e trasferiti in modo professionale. Questo è esattamente il tipo di evidenza documentale che la norma richiede agli organi di amministrazione. Per approfondire le soluzioni disponibili, visita la nostra pagina sull’Assicurazione Cyber Risk.

Pico Adviser, specialista anche nel rischio tecnologico, supporta le aziende italiane nella costruzione di questo presidio assicurativo integrato con la governance NIS 2. Il punto di partenza è sempre l’Analisi dei Rischi: la stessa metodologia richiesta dall’art. 2086 c.c. e dal Codice della Crisi per gli adeguati assetti organizzativi è oggi indispensabile anche per dimostrare all’ACN la diligenza richiesta dalla NIS 2. Dall’identificazione dei rischi alla strutturazione della polizza, il percorso è unico e documentato. Scopri perché affidarsi a Pico Adviser per costruire un presidio assicurativo integrato con la governance NIS 2.

Contattaci per strutturare la copertura assicurativa cyber più adatta alla tua azienda.

Compila il modulo Contattaci

FAQ – NIS 2 e responsabilità amministratori