NIS 2 responsabilità amministratori: il D.Lgs. 138/2024, che recepisce in Italia la direttiva (UE) 2022/2555, porta la cybersicurezza dalla funzione IT al consiglio di amministrazione e rende le responsabilità molto più personali.
Con il D.Lgs. 138/2024 il consiglio di amministrazione deve approvare le misure di sicurezza informatica e ne risponde: per i soggetti essenziali le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale.
In sintesi: la responsabilità penale degli amministratori non è automatica, perché servono un evento concreto, un nesso causale e un’omissione evitabile. Il rischio più frequente è patrimoniale e interdittivo. Il primo passo è verificare se l’azienda rientra nel perimetro NIS 2, poi documentare la diligenza.
NIS 2 responsabilità amministratori: la svolta del D.Lgs. 138/2024
Come leggere questo approfondimento
L’analisi che segue è proposta dal punto di vista della gestione del rischio e delle implicazioni assicurative per le imprese. Le valutazioni tecnico-legali su responsabilità civile e penale competono a professionisti specializzati. Il ruolo di una consulenza indipendente è aiutarvi a integrare questi profili nella strategia di risk management e nella scelta delle coperture.
Il D.Lgs. 138/2024 ha spostato l’asse della responsabilità dal singolo tecnico ai vertici aziendali. Il decreto non introduce nuovi reati specifici, ma aggrava il profilo di responsabilità degli amministratori: sanzioni pecuniarie elevate, possibili misure sul ruolo e, nei casi più gravi, il richiamo della posizione di garanzia prevista dall’art. 40 del codice penale. Chi non si è ancora adeguato rischia quindi molto più di una multa.
La cybersicurezza è uscita dai perimetri tecnici dei data center per entrare nelle decisioni societarie. Fino a pochi anni fa era considerata una funzione delegata al responsabile tecnico o al CISO, e gli organi di vertice restavano di fatto fuori dal coinvolgimento operativo. Il nuovo quadro normativo supera questo approccio.
I consigli di amministrazione non possono più limitarsi a ratificare decisioni altrui. Devono approvare le misure di gestione dei rischi informatici e valutarne criticamente impatto e proporzionalità rispetto all’attività aziendale. Il silenzio su vulnerabilità critiche diventa così un possibile illecito gestorio, legato al dovere di diligenza dell’art. 2392 del codice civile.
La posizione di garanzia: art. 40 c.p. e NIS 2
Il profilo più delicato riguarda lo scudo societario dietro cui spesso si riparavano i dirigenti. Il decreto non crea reati specifici, ma rafforza la responsabilità personale degli organi di gestione per l’inosservanza degli obblighi di sicurezza. In questo contesto assume rilievo l’art. 40, comma 2, del codice penale, la cosiddetta posizione di garanzia: non impedire un evento che si ha l’obbligo giuridico di evitare equivale a cagionarlo.
Questa responsabilità non è automatica. Per configurarsi servono un evento dannoso concreto, un nesso causale dimostrabile, la prevedibilità dell’evento e la sua evitabilità con una condotta diligente. La NIS 2 non genera responsabilità penale in sé, ma rafforza gli elementi che possono rendere rilevante un’omissione.
Si tratta di una costruzione applicabile soprattutto ai casi più gravi, come attacchi a infrastrutture critiche, interruzioni di servizi essenziali o eventi con conseguenze su persone. Per la generalità degli amministratori il rischio più immediato resta patrimoniale, con l’azione di responsabilità di soci e creditori, e interdittivo. Come osserva Paolo Galdieri su Red Hot Cyber, avvocato specializzato in diritto penale informatico, la gestione del dato non è più solo una questione di privacy ma il cuore di una nuova posizione di garanzia.
La NIS 2 responsabilità amministratori riguarda le figure apicali con poteri decisionali o di spesa effettivi. Non si estende automaticamente a responsabili IT privi di poteri formali o a figure puramente esecutive.
La notifica degli incidenti: un obbligo con conseguenze serie
La NIS 2 impone di segnalare gli incidenti significativi al CSIRT Italia, l’autorità nazionale di risposta agli incidenti informatici, entro tempi molto ristretti. La violazione di questi obblighi ha natura amministrativa e comporta sanzioni pecuniarie, non reati.
La situazione cambia se si manipolano i log o si ritarda volutamente la comunicazione di un attacco per evitare danni reputazionali. Queste condotte possono configurare illeciti ben più gravi. La Legge 90/2024 sulla cybersicurezza nazionale ha inoltre inasprito la risposta penale a diversi reati informatici, che restano distinti dal semplice inadempimento degli obblighi di notifica.
Volete sapere se la vostra Polizza Cyber è adeguata al nuovo scenario NIS 2?
Compilate il modulo Contattaci 
NIS 2 responsabilità amministratori: il dovere di agire informato
La NIS 2 responsabilità amministratori si salda con una norma fondamentale del codice civile. L’art. 2381 impone agli amministratori di agire in modo informato e attribuisce al presidente un ruolo diretto sul flusso informativo che precede le riunioni. Si integra con l’art. 2086, che obbliga ogni imprenditore a dotarsi di assetti organizzativi, amministrativi e contabili adeguati a rilevare tempestivamente la crisi.
Per rispettare questo dovere il CDA deve disporre, in modo tempestivo e strutturato, di dati economico-finanziari, indicatori di rischio e scenari prospettici. Un’azienda senza adeguati assetti non può formare un dossier consiliare affidabile. Un presidente privo di dati aggiornati fatica a dimostrare di aver assolto il proprio obbligo.
Cosa deve approvare formalmente il CDA
La responsabilità del presidente non si limita al merito delle delibere, tradizionalmente protetto dalla business judgment rule. Si estende al processo che le ha precedute. Per ogni punto all’ordine del giorno serve una valutazione strutturata lungo tre assi:
- Finanziario: disponibilità di risorse, impatto sul cash flow, DSCR.
- Economico-organizzativo: proiezioni sul conto economico, fabbisogni di risorse umane e strutturali.
- Di rischio: identificazione, probabilità, impatto, scenari alternativi.
Questi dati non si improvvisano la mattina della riunione: nascono da un monitoraggio continuativo. Qui entra in gioco la Business Judgment Rule. Un amministratore che segue un processo decisionale documentato e diligente, con analisi strutturata dei rischi, budget approvato e formazione certificata, non risponde per il solo fatto che un attacco sia avvenuto. Il rischio zero non esiste, e la norma chiede diligenza dimostrabile, non infallibilità. Per questo l’Analisi dei Rischi e la Polizza Cyber sono la documentazione che prova la diligenza del CDA.
NIS 2 responsabilità amministratori: le sanzioni previste
L’apparato sanzionatorio della NIS 2 è pensato per essere incisivo. Per i soggetti essenziali le sanzioni amministrative pecuniarie arrivano fino a 10 milioni di euro o al 2% del fatturato globale annuo, il valore più alto tra i due. Per i soggetti importanti il tetto scende a 7 milioni di euro o all’1,4% del fatturato.
Alle sanzioni pecuniarie si affiancano misure che colpiscono il ruolo, come la sospensione temporanea dalle funzioni dirigenziali per gli organi di gestione responsabili delle violazioni. Molti manager la temono più delle multe, perché incide direttamente su incarico e reputazione professionale.
Questi obblighi riguardano i soggetti classificati come essenziali o importanti dal D.Lgs. 138/2024, in base a fatturato, numero di dipendenti e settore. Prima di avviare un piano di adeguamento verificate quindi se la vostra azienda rientra nel perimetro. Come ricorda Red Hot Cyber nell’analisi del decreto, la compliance digitale diventa un prerequisito legale e uno strumento di difesa contro le responsabilità civili e le sanzioni interdittive.
Volete verificare se le vostre coperture cyber sono allineate agli obblighi NIS 2?
Compilate il modulo Contattaci
Finché la cybersecurity resta all’IT, il rischio è fuori controllo
Il messaggio più chiaro sulla NIS 2 responsabilità amministratori è che la sicurezza informatica richiede integrazione reale nei processi decisionali e responsabilità definite a livello esecutivo. La differenza non la fanno gli strumenti, ma il posizionamento del ruolo all’interno dell’organizzazione.
La supply chain è un ulteriore fronte di rischio. Un’azienda IT che fornisce servizi a soggetti NIS deve dimostrare di aver adottato misure di sicurezza adeguate anche lungo la catena di fornitura. Il professionista IT non può ignorare i rischi che i propri strumenti introducono nei sistemi del cliente. Per le coperture dedicate a questo profilo potete consultare la pagina sulla RC Professionale Informatica.
NIS 2 responsabilità amministratori e Polizza Cyber: il presidio di governance
Con la NIS 2 la Polizza Cyber assume un ruolo più strategico. Non serve solo a coprire i danni economici di un attacco: è un presidio di governance che dimostra ad ACN, clienti e soci che i rischi cyber sono stati identificati, valutati e in parte trasferiti. È il tipo di evidenza documentale che la norma richiede agli organi di amministrazione.
Il punto di partenza è sempre l’Analisi dei Rischi. La stessa metodologia richiesta dall’art. 2086 del codice civile per gli adeguati assetti è oggi indispensabile anche per dimostrare all’Agenzia per la cybersicurezza nazionale la diligenza richiesta dalla NIS 2. Dall’identificazione dei rischi alla scelta della copertura il percorso è unico e documentato.
Il nostro ruolo è orientarvi verso la soluzione più coerente con la vostra esposizione. Scoprite perché affidarvi ai nostri consulenti e consultate la pagina sui prodotti speciali per le altre coperture dedicate ai rischi particolari delle imprese.
Le richieste inviate tramite il modulo vengono inoltrate a intermediari specializzati, iscritti al Registro Unico degli Intermediari assicurativi (RUI). Per verificare un’iscrizione potete consultare il sito dell’IVASS: in fondo alla pagina trovate il pulsante “RUI”.
Per una consulenza sulla NIS 2 responsabilità amministratori e sulla copertura cyber più adatta alla vostra azienda
Compilate il modulo Contattaci
FAQ – NIS 2 responsabilità amministratori
Chi è responsabile della cybersecurity in azienda secondo la NIS 2?
Secondo il D.Lgs. 138/2024 la responsabilità ricade sul consiglio di amministrazione, non solo sull’IT. Gli organi di amministrazione devono approvare le misure di gestione dei rischi informatici e vigilare sulla loro attuazione.
Il silenzio su vulnerabilità critiche può diventare un illecito gestorio, legato al dovere di diligenza previsto dall’art. 2392 del codice civile. Delegare al CISO non basta: il CDA deve poter dimostrare di aver analizzato e approvato le misure in modo documentato.
Quali sanzioni prevede la NIS 2 per gli amministratori inadempienti?
Il D.Lgs. 138/2024 prevede due livelli di sanzioni amministrative pecuniarie. Per i soggetti essenziali arrivano fino a 10 milioni di euro o al 2% del fatturato globale annuo, il valore più alto tra i due. Per i soggetti importanti il tetto è di 7 milioni di euro o dell’1,4% del fatturato.
Il quadro sanzionatorio comprende anche misure che incidono sul ruolo dell’amministratore, come la sospensione temporanea dalle funzioni dirigenziali. Prima di ogni piano di adeguamento verificate se l’azienda rientra nel perimetro NIS 2, definito da fatturato, dipendenti e settore.
Entro quanto tempo va notificato un incidente informatico secondo la NIS 2?
La NIS 2 impone di segnalare gli incidenti significativi al CSIRT Italia entro tempi molto ristretti, scanditi in più fasi. La violazione degli obblighi di notifica comporta sanzioni amministrative pecuniarie, non reati.
Diversa è la manipolazione dei log o il ritardo voluto nella comunicazione di un attacco per evitare danni reputazionali. Queste condotte possono integrare reati, distinti dal semplice inadempimento degli obblighi NIS 2. Per i termini esatti fate riferimento al testo del Decreto e alle indicazioni dell’ACN.
Cos’è la posizione di garanzia e quando si applica agli amministratori?
La posizione di garanzia deriva dall’art. 40, comma 2, del codice penale: non impedire un evento che si ha l’obbligo giuridico di evitare equivale a cagionarlo. La NIS 2 non crea nuovi reati, ma rafforza gli obblighi di sicurezza degli organi di gestione apicali con poteri decisionali o di spesa effettivi.
La responsabilità non è automatica. Servono un evento dannoso concreto, un nesso causale dimostrabile, la prevedibilità dell’evento e la sua evitabilità con una condotta diligente. Si applica soprattutto ai casi gravi, come attacchi a infrastrutture critiche o interruzioni di servizi essenziali.
La Polizza Cyber aiuta a dimostrare la diligenza richiesta dalla NIS 2?
Sì, in abbinamento a un’analisi dei rischi documentata. La Polizza Cyber costituisce un presidio di governance: mostra ad ACN, soci e clienti che i rischi informatici sono stati identificati, valutati e in parte trasferiti. È il tipo di evidenza documentale utile a provare la diligenza richiesta dalla Business Judgment Rule.
Una consulenza indipendente aiuta a collegare l’analisi dei rischi alla scelta della copertura, partendo dalla stessa metodologia richiesta dall’art. 2086 del codice civile per gli adeguati assetti organizzativi.