Tra i tanti adempimenti che il D.Lgs. 4 settembre 2024, n. 138 (recepimento della direttiva UE 2022/2555, NIS2) scarica sulle aziende, ce n’e uno che non si delega a un fornitore e non si chiude con una procedura tecnica: la responsabilita degli organi di amministrazione. L’articolo 23 sposta una parte del rischio cyber direttamente sulle spalle di chi siede in consiglio. E con il termine dei 18 mesi fissato dalla determinazione ACN n. 379907/2025, la finestra utile per mettersi in regola si chiude a ottobre 2026.
Cosa dice davvero l’articolo 23
L’articolo 23 del D.Lgs. 138/2024 riguarda gli organi di amministrazione e direttivi dei soggetti essenziali e importanti. Non parla di firewall o di backup: parla di governance e di responsabilita personale. Si articola su due piani.
Il primo comma stabilisce che gli organi di amministrazione e direttivi approvano le modalita di implementazione delle misure di gestione dei rischi per la sicurezza informatica previste dall’articolo 24 e sovrintendono all’adempimento degli obblighi del decreto, compreso l’articolo 7 sull’identificazione e la gestione. La norma aggiunge un passaggio che cambia la prospettiva: gli organi sono ritenuti responsabili delle violazioni delle disposizioni del decreto da parte del soggetto che rappresentano. Non e una responsabilita astratta dell’ente: e una responsabilita che risale alle persone che approvano e vigilano.
Il secondo comma introduce l’obbligo formativo. I membri degli organi di amministrazione e direttivi devono seguire una formazione in materia di sicurezza informatica, per acquisire conoscenze e competenze sufficienti a individuare i rischi e valutarne l’impatto. E devono promuovere una formazione analoga e periodica per i dipendenti, in linea con le pratiche di gestione adottate.
Due regimi: essenziali e importanti
L’articolo 23 si applica sia ai soggetti essenziali sia a quelli importanti, ma il peso delle conseguenze cambia. La distinzione non incide tanto sul contenuto degli obblighi dell’organo, che resta lo stesso, quanto sul profilo sanzionatorio e sull’intensita della vigilanza.
Per i soggetti essenziali (escluse le pubbliche amministrazioni) la sanzione amministrativa per il mancato rispetto degli obblighi di gestione del rischio e di notifica arriva fino a 10 milioni di euro o al 2% del fatturato annuo mondiale dell’esercizio precedente, se superiore. Per i soggetti importanti il massimale scende a 7 milioni di euro o all’1,4% del fatturato. La forbice non e simbolica: e la misura di quanto il legislatore considera critica la continuita del servizio.
Il profilo sanzionatorio che tocca le persone
Qui sta il punto che spesso sfugge a chi legge la NIS2 come un adempimento tecnico. Accanto alle sanzioni pecuniarie a carico dell’ente, il decreto prevede misure che colpiscono la posizione personale degli amministratori. L’Autorita puo disporre, come sanzione amministrativa accessoria, l’incapacita a svolgere funzioni dirigenziali all’interno del soggetto interessato. Tradotto: chi non ha approvato le misure, non ha vigilato o non si e formato, non rischia solo una multa per l’azienda, ma puo vedersi interdetto dal ruolo.
E la ragione per cui l’articolo 23 va trattato in CdA come un punto a se, non come un allegato della relazione IT. La responsabilita e personale e diretta, e si dimostra con gli atti.
La scadenza vera: ottobre 2026
La determinazione ACN n. 379907/2025 ha fissato i termini operativi. Le misure di sicurezza di base devono essere adottate entro 18 mesi dalla notifica dell’avvenuta registrazione, cioe entro ottobre 2026 per i soggetti registrati nella prima finestra. Gli obblighi di notifica degli incidenti significativi avevano un orizzonte piu ravvicinato, 9 mesi (gennaio 2026). L’approvazione delle misure di gestione del rischio da parte dell’organo non e un atto separato da questa scadenza: e il presupposto formale perche le misure siano legittimamente adottate. Senza la delibera dell’organo, le misure restano un documento tecnico privo di copertura di governance.
Tra giugno e ottobre 2026 le aziende in elenco devono chiudere proprio questo passaggio. Chi ha gia completato categorizzazione, nomina del Punto di Contatto e mappatura dei fornitori, ma non ha portato le misure all’approvazione del consiglio, ha lasciato aperto l’anello piu esposto.
Mini-checklist: cosa deve comparire nei verbali
L’adempimento dell’articolo 23 si dimostra con tracce documentali. Ecco gli atti che dovrebbero risultare a verbale per mostrare che l’organo ha fatto la sua parte:
- Delibera di approvazione delle misure di gestione del rischio ex articolo 24, con riferimento esplicito al D.Lgs. 138/2024 e al documento tecnico approvato.
- Atto di nomina o conferma del Punto di Contatto NIS e attribuzione delle responsabilita di coordinamento verso l’ACN.
- Verbale che attesti la sovrintendenza all’attuazione: revisione periodica dello stato di avanzamento, con cadenza definita, e non un’unica approvazione iniziale.
- Evidenza della formazione seguita dai membri dell’organo: attestati, programma, date. La formazione e un obbligo per gli amministratori, non solo per il personale.
- Piano di formazione periodica per i dipendenti approvato o promosso dall’organo, coerente con le misure adottate.
- Delibera sulla gestione delle notifiche di incidente e sulle responsabilita interne in caso di evento significativo.
Non serve produrre carta per la carta. Serve che ogni voce dell’articolo 23 abbia un atto corrispondente: approvazione, vigilanza, formazione propria, formazione del personale. Se un controllo dovesse arrivare, la differenza tra una sanzione all’ente e una misura personale a carico dell’amministratore passa spesso dalla qualita di questa tracciabilita.
Per chi istruisce l’organo
Chi ricopre il ruolo di Punto di Contatto NIS ha un compito che va oltre la registrazione sul portale: deve portare l’articolo 23 davanti al consiglio in termini comprensibili e decisionali. Significa preparare la delibera, calendarizzare la formazione degli amministratori, predisporre il piano per il personale e impostare la cadenza delle revisioni. L’organo approva e vigila, ma qualcuno deve mettergli in mano gli strumenti per farlo nei tempi giusti. Da qui a ottobre 2026 il margine si e ridotto a una manciata di sedute.