La comunicazione dell’Agenzia per la cybersicurezza nazionale è arrivata via PEC nell’aprile 2025 e l’amministratore di una società di servizi informatici da sessanta dipendenti ha fatto il gesto più naturale: l’ha inoltrata al fornitore IT con una riga di accompagnamento e non l’ha più riaperta. Sembrava la scelta sensata, perché la NIS2 parla di backup, accessi e autenticazione a più fattori. Il decreto legislativo 138 del 2024, che la recepisce in Italia, assegna invece il compito a chi amministra: l’organo amministrativo approva le misure di sicurezza, ne sorveglia l’attuazione e risponde delle violazioni. Chi è entrato nell’elenco nella primavera del 2025 ha diciotto mesi dalla comunicazione per adottare le misure di base, e quindi per la gran parte delle aziende il termine cade in ottobre 2026. Per una media impresa del settore la sanzione ha un minimo di legge di 233.333 euro. Se poi la società non si adegua dopo la diffida dell’Agenzia, l’amministratore può essere fermato nelle funzioni di direzione di quella società fino a quando l’adeguamento non arriva.
Le misure di sicurezza le approva l’amministratore, e la mancata approvazione è già una violazione
La NIS2 divide le aziende coinvolte in due fasce. I soggetti essenziali sono di regola le grandi imprese dei settori più critici; i soggetti importanti comprendono buona parte delle medie imprese dei settori elencati dalla legge. La società del nostro amministratore, che gestisce servizi informatici per clienti aziendali e ha sessanta dipendenti, sta nella fascia intermedia. Nessuno ci entra a sua insaputa: dal 12 aprile 2025 l’Agenzia ha comunicato l’inserimento nell’elenco a ciascuna azienda, all’indirizzo PEC registrato. Da quella data decorrono i diciotto mesi dell’art. 42 del decreto.
Le misure da adottare sono quelle dell’art. 24: analisi dei rischi, gestione degli incidenti, continuità operativa e backup, sicurezza dei fornitori, controllo degli accessi, autenticazione a più fattori, formazione del personale. L’Agenzia le ha tradotte in un elenco di requisiti, chiamati specifiche di base, con la determinazione del 14 aprile 2025 aggiornata a dicembre dello stesso anno: intorno a novanta requisiti per la fascia intermedia, oltre cento per la prima.
Il fornitore dell’amministratore può averne soddisfatti molti. La configurazione dei server, però, copre solo una parte dell’obbligo. L’art. 23 chiede all’organo amministrativo di approvare le modalità con cui le misure vengono attuate, di sovrintendere alla loro attuazione e di seguire personalmente una formazione sulla sicurezza informatica. L’art. 38 punisce come violazione autonoma la mancata osservanza di questi obblighi. Se nessuna delibera ha approvato il piano, l’azienda è in violazione anche quando il lavoro tecnico è stato fatto bene.
La ragione della regola è pratica. Le misure costano, e decidere quanto spendere e quale rischio residuo accettare spetta a chi governa l’impresa. Il tecnico sa come proteggere un sistema, e l’amministratore stabilisce se e con quali risorse farlo. La legge ha messo la responsabilità dove sta il potere di decidere la spesa. Resta da vedere chi paga quando quella decisione manca.
Il fermo dell’amministratore colpisce la persona, e il fornitore esente riceve gli stessi obblighi per contratto
La sanzione pecuniaria colpisce la società: per la fascia intermedia arriva a 7 milioni di euro o all’1,4 per cento del fatturato annuo mondiale, se più alto, con un minimo di un trentesimo del massimo; per la prima fascia a 10 milioni o al 2 per cento, con un minimo di un ventesimo. La misura che l’amministratore sente di più è un’altra. L’art. 38, comma 6, consente all’Agenzia, quando la società non si adegua entro il termine fissato da una diffida, di disporre verso gli amministratori la sanzione accessoria dell’incapacità a svolgere funzioni dirigenziali in quella società. Vale per entrambe le fasce e dura finché le carenze non sono rimediate.
Le due posizioni hanno ciascuna la sua ragione. L’amministratore osserva che non è un tecnico e che ha pagato qualcuno perché se ne occupasse. Il legislatore risponde che nessun contratto di assistenza trasferisce al fornitore il potere di impegnare il bilancio della società. Il fornitore può configurare ogni server dell’azienda, e la delibera che rende vincolante quel lavoro può firmarla solo chi amministra.
C’è poi chi si crede fuori. Molte piccole imprese non ricevono nessuna comunicazione dall’Agenzia, perché sono sotto le soglie o fuori dai settori elencati. Se però forniscono software, assistenza o componenti a un’azienda che è dentro la NIS2, quell’azienda deve valutarne la sicurezza: lo impone l’art. 24, comma 2, lettera d), e dal 2026 l’Agenzia chiede anche di indicarle i fornitori rilevanti. Il risultato arriva sotto forma di clausole: verifiche presso il fornitore, obbligo di segnalare un incidente entro poche ore, penali, recesso. La piccola impresa esente si ritrova gli stessi obblighi con un cliente al posto dell’Agenzia. Mancano però la diffida e il termine per rimediare: resta la penale, e il contratto si può perdere.
Le mosse da fare entro ottobre
- La prima mossa dell’amministratore è riaprire quella PEC e leggerne la data di ricezione. I diciotto mesi si contano da lì, e chi l’ha ricevuta nelle settimane successive al 12 aprile ha qualche giorno in più; chi continua a ragionare su una data sentita dire rischia di mancare il proprio termine.
- Poi viene la delibera. Il consiglio di amministrazione, o l’amministratore unico con una determina scritta, approva il piano delle misure preparato con il fornitore, individua chi ne cura l’attuazione e fissa quando riferire. Il piano va allegato al verbale. In caso di controllo, la prova che l’organo amministrativo ha deciso è quel verbale, e una catena di email con il tecnico non lo sostituisce. Nella stessa sede conviene documentare la formazione seguita dagli amministratori, che la legge richiede a loro personalmente.
- La terza mossa riguarda gli incidenti. Per le aziende entrate nel 2025 l’obbligo di segnalarli è operativo da gennaio 2026: un preallarme entro 24 ore da quando l’incidente significativo è scoperto, la notifica completa entro 72 ore, al CSIRT Italia, il centro nazionale di risposta agli incidenti informatici. Se l’unica persona che conosce la procedura lavora per il fornitore, un attacco di venerdì sera diventa una violazione il lunedì mattina. Serve un referente interno che sappia a chi scrivere e che cosa.
- L’ultima mossa sono i contratti, in entrambe le direzioni. L’azienda dentro la NIS2 deve rileggere quelli con i propri fornitori e inserire obblighi di sicurezza proporzionati. L’impresa fornitrice, quando riceve le clausole di un cliente, deve leggerle prima di firmare e negoziare tempi di segnalazione compatibili con la propria organizzazione e penali commisurate al valore della fornitura. Una clausola accettata senza leggerla vincola quanto una norma, e il cliente che la fa valere non deve concedere il termine per rimediare che l’Agenzia assegna con la diffida.
L’amministratore ha ancora qualche settimana. La PEC inoltrata diciotto mesi fa gli dice fino a quando, e la legge gli dice che la firma che manca è la sua. Una verifica del perimetro, del piano e dei contratti fatta adesso permette di arrivare alla scadenza con una delibera in mano. Lo Studio Legale VDS, attraverso l’area di Diritto delle Nuove Tecnologie e l’area di Consulenza d’Impresa, può accompagnare l’organo amministrativo nella delibera e nella revisione delle clausole con i fornitori, anche nell’ottica della Prevenzione del Contenzioso.
