NIS2 e responsabilità del top management

La Direttiva NIS2 introduce una novità importante per le imprese: la responsabilità attiva del top management nella supervisione della sicurezza informatica.
Un cambiamento significativo, ma anche un’opportunità per rendere l’azienda più resiliente in un contesto digitale sempre più complesso.

In questo approfondimento – volto specificamente a nostri clienti impattati da NIS2 – vediamo cosa richiede realmente l’art. 20 NIS2 — senza alimentare inutili allarmismi — e perché molte imprese stanno già avviando un percorso di adeguamento.

Perché NIS2 coinvolge direttamente il top management

Negli ultimi anni gli incidenti informatici hanno dimostrato che la sicurezza IT non è più un tema solo tecnico; la cybersecurity ha impatti diretti su:

• continuità operativa
• reputazione
• rapporti con clienti e fornitori
• responsabilità legali
• capacità dell’impresa di rimanere competitiva

La NIS2 recepisce questo assunto e chiede alla direzione aziendale di assumere un ruolo più consapevole, basato su fatti, processi e decisioni documentate.

In sintesi, l’articolo 20 richiede che:

1. Il top management “approvi” le misure di sicurezza

Non serve entrare nel dettaglio tecnico, ma è richiesto di:

• comprendere lo stato della sicurezza
• conoscere le misure già prese
• avere ben presente il livello di rischio e gestirlo
• validare le priorità e gli investimenti
• verificare che l’azienda abbia un piano documentato
• approvare le misure di cybersicurezza adottate e governarne l’implementazione

2. Partecipi alla “supervisione” del sistema di gestione della sicurezza

Anche qui, non è richiesto che l’imprenditore o il dirigente diventi un esperto ICT; si tratta di:

• ricevere e comprendere report periodici
• monitorare KPI chiari e comprensibili
• essere informati su incidenti, quasi incidenti e criticità

3. Riceva formazione adeguata

La direttiva prevede espressamente che la direzione riceva e possegga una formazione mirata sui temi della sicurezza. Non corsi tecnici sulla cybersecurity, ma contenuti utili a valutare rischi, priorità e impatti di business.

Cosa NON richiede l’art. 20 (e che spesso genera ansia inutilmente, alimentata da consulenti senza scupoli)

L’articolo non richiede che:

• il top management configuri firewall o sistemi ICT, quindi che diventi un operativo IT
• conosca dettagli tecnici e/o informatici avanzati
• sia responsabile di ogni singolo errore operativo
• venga “punito” automaticamente in caso di incidente

La responsabilità è di supervisione, non operativa.
E si basa sulla ragionevolezza: avere processi, registri e decisioni documentate.

Quindi un framework di regole: il CSFDP italiano

Per supportare le imprese nel definire un “sistema di regole” concreto e proporzionato, in Italia è stato adottato il Cybersecurity Framework per la Data Protection (CSFDP), elaborato dal Framework Nazionale per la Cybersecurity e la Data Protection e aggiornato in continuità con il NIST Cybersecurity Framework 2.0.

Il CSFDP rappresenta una struttura di riferimento semplice e adattabile, costruita intorno alle funzioni fondamentali del NIST CSF 2.0 (Identify, Protect, Detect, Respond, Recover) e declinata per la realtà organizzativa italiana.
È particolarmente utile per il top management perché permette di:

• tradurre gli obblighi NIS2 in processi chiari e non tecnici;
• stabilire priorità oggettive e misure proporzionate alla dimensione dell’impresa;
• definire ruoli, responsabilità e flussi decisionali;
• documentare le scelte con un linguaggio uniforme e riconosciuto.

In pratica, il CSFDP aiuta a costruire quel “framework di regole” che la NIS2, soprattutto con l’art. 20, si aspetta da qualsiasi realtà organizzativa: non un adempimento formale, ma una governance della sicurezza capace di guidare l’azienda nel tempo.

---

Perché conviene iniziare il percorso già nel 2025

Non per timore di sanzioni, ma per un motivo molto più concreto:
essere preparati quando la NIS2 diventerà operativa anche nella parte notifiche (2026) e nei controlli dell’Autorità Nazionale.

Le aziende che iniziano ora hanno un vantaggio significativo:

• meno fretta, quindi meno stress
• possibilità di pianificare investimenti distribuiti o maggiormente necessari
• tempo per adeguare i contratti con i fornitori ed eventualmente clienti
• miglioramento graduale della postura di sicurezza
• maggior affidabilità verso clienti e partner (tema sempre più rilevante nella supply chain)

---

Un approccio equilibrato e sostenibile per il top management

Il nostro consiglio alle imprese è semplice:

1. Comprendere il quadro
   (con una sessione di formazione/awareness dedicata al management)
2. Eseguire una gap analysis leggera ma completa
   per capire dove si è e dove si dovrebbe arrivare.
3. Definire un piano biennale realistico
   privilegiando misure organizzative e processuali, non solo tecnologia.
4. Stabilire un cruscotto di 6–8 KPI semplici
   che la direzione possa seguire periodicamente, volendo supportati dal nostro Studio.

Queste attività permettono di trasformare un obbligo normativo in un vantaggio competitivo.

In conclusione

L’art. 20 NIS2 non introduce obblighi punitivi per la direzione, ma riconosce il ruolo centrale del top management nella gestione aziendale complessiva.

L’obiettivo è integrare la sicurezza informatica nel normale ciclo di governance, assicurando decisioni informate, processi chiari e una supervisione costante ma proporzionata.

Un approccio misurato e graduale permette di:

• rafforzare la resilienza dell’azienda
• ridurre l’impatto degli incidenti
• aumentare l’affidabilità percepita da clienti e partner
• farsi trovare pronti quando la direttiva diventerà pienamente operativa