Il 14 luglio 2026 l’Agenzia per la cybersicurezza nazionale ha aggiornato le proprie FAQ sugli obblighi degli organi di amministrazione e direttivi dei soggetti NIS, chiarendo che l’approvazione delle misure di gestione del rischio non e’ delegabile e che la responsabilita’ per il modo in cui quella funzione viene esercitata resta in capo a chi siede in consiglio. Il giorno prima l’ENISA aveva pubblicato un modello di maturita’ pensato per portare il Cyber Resilience Act dentro le imprese piu’ piccole, avvertendo pero’ che nessun punteggio sostituisce gli obblighi di legge e che nessun livello di maturita’ costituisce prova di conformita’. Due settimane prima, il 30 giugno, il CEN e il CENELEC avevano aperto una gara per selezionare i rapporteur che dovranno scrivere gli standard a supporto proprio di quel regolamento. Letti insieme, i tre atti dicono una cosa sola: il dovere di sicurezza informatica e’ gia’ salito al vertice delle organizzazioni ed e’ gia’ sceso fino alla microimpresa, mentre lo strumento tecnico che dovrebbe consentire di dimostrare di averlo osservato e’ ancora in fase di affidamento.
L’ACN chiarisce che l’approvazione delle misure non si delega
L’aggiornamento integra le FAQ ODA.8 e ODA.9 e ne introduce tre nuove, ODA.10, ODA.11 e ODA.12, tutte dedicate agli obblighi che l’articolo 23 del decreto NIS pone in capo agli organi di amministrazione e direttivi dei soggetti essenziali e dei soggetti importanti. La distinzione da cui muove l’Agenzia merita attenzione. Le FAQ ammettono la delega interna dello svolgimento delle attivita’ necessarie ad attuare gli obblighi, ma escludono che possa essere delegata l’approvazione delle modalita’ di implementazione delle misure di gestione dei rischi adottate ai sensi della Determinazione ACN 379907/2025. Quell’approvazione, precisa l’Agenzia, resta unicamente ed esclusivamente in capo all’organo di amministrazione nella sua collegialita’ oppure, dove previsto, all’organo monocratico, e non e’ trasferibile ne’ a singoli amministratori ne’ ad altri organi o funzioni interne, quale che sia il modello di governance societaria adottato.
Accanto all’approvazione restano non delegabili la vigilanza sull’implementazione degli obblighi, la responsabilita’ per le violazioni del decreto, il dovere di seguire una formazione in materia di sicurezza informatica e quello di promuovere un’offerta periodica di formazione coerente per i dipendenti. Si tratta, nella qualificazione dell’ACN, di obblighi di indirizzo e pianificazione strategica e, in quanto tali, non delegabili. Cio’ che si puo’ delegare e’ soltanto l’attuazione, e su questo punto la FAQ ODA.9 aggiunge il passaggio piu’ rilevante per il giurista: quando la delega c’e’, per le societa’ resta fermo quanto previsto dagli articoli 2381 e 2392 del codice civile. Il richiamo non e’ ornamentale, perche’ riconduce la vicenda dentro il diritto societario, con il dovere degli amministratori di agire informati e di valutare l’adeguatezza dell’assetto organizzativo, e con la responsabilita’ per i danni derivanti dall’inosservanza dei doveri imposti dalla legge. La finalita’ e’ dichiarata dall’Agenzia in modo esplicito: elevare la sicurezza informatica a priorita’ strategica degli organi di vertice.
Che cosa arriva davvero sul tavolo del consiglio
La FAQ ODA.10 fa un passo ulteriore e indica quali documenti devono essere sottoposti all’approvazione: l’organizzazione per la sicurezza informatica, le politiche di sicurezza informatica, la valutazione del rischio posto alla sicurezza dei sistemi informativi e di rete, il piano di trattamento del rischio, il piano di gestione delle vulnerabilita’, il piano di adeguamento, i piani di continuita’ operativa, di ripristino in caso di disastro e di gestione delle crisi, il piano di formazione e il piano per la gestione degli incidenti di sicurezza informatica. L’elenco e’ riportato anche in forma tabellare nell’appendice C della guida alla lettura delle specifiche di base. Il livello di dettaglio richiesto, pero’, non e’ tecnico: i documenti devono riflettere e declinare i requisiti delle misure di sicurezza almeno a livello di indirizzo e pianificazione strategica, in modo da consentire agli organi di amministrazione di esercitare consapevolmente la propria funzione. Procedure tecniche, istruzioni operative e manuali possono restare a cura delle articolazioni competenti.
Le FAQ ODA.11 e ODA.12 completano il quadro sul piano pratico. Il soggetto NIS puo’ organizzare la documentazione come ritiene piu’ idoneo, raccogliendo i contenuti in un unico documento oppure distribuendoli fra piu’ documenti coordinati, e l’aggiornamento dei presidi tecnici e organizzativi richiamati nei documenti strategici non impone di riportare questi ultimi all’approvazione dell’organo. E’ una semplificazione ragionevole, che pero’ non attenua il punto centrale: cio’ che il consiglio approva non e’ un adempimento formale ma l’assunzione consapevole di una responsabilita’ che la legge gli attribuisce in via diretta. Sul funzionamento concreto degli altri obblighi NIS 2, dalla categorizzazione dei soggetti alle notifiche degli incidenti, si veda quanto gia’ osservato in NIS 2 alla prova dei fatti.
Il Cyber Resilience Act arriva alla microimpresa
Il 13 luglio 2026 l’Agenzia dell’Unione europea per la cybersicurezza ha pubblicato il SME Cyber Resilience Maturity Assessment Model, presentato come strumento di autovalutazione rivolto in primo luogo alle organizzazioni che fabbricano e immettono sul mercato prodotti con elementi digitali, e quindi destinatarie dirette del Cyber Resilience Act, ma utilizzabile anche da integratori e fornitori di servizi coinvolti nel ciclo di vita del prodotto. Il modello articola la valutazione in cinque ambiti, che vanno dalla governance e dalla documentazione alla gestione del rischio e alla sicurezza fin dalla progettazione, dalla gestione delle vulnerabilita’ e delle patch al ciclo di vita del prodotto, fino alla consapevolezza e alle competenze, e misura ciascun ambito su cinque criteri e su tre profili di maturita’, di base, intermedio e avanzato, con un foglio di calcolo scaricabile che calcola i punteggi. L’avvertenza che accompagna il modello e’ la parte piu’ interessante: un livello di maturita’ avanzato non sostituisce gli obblighi di legge e non puo’ essere considerato prova di conformita’.
Il modello arriva insieme ai risultati di una rilevazione condotta fra febbraio e marzo 2026 su 194 organizzazioni di 31 Paesi, fra cui 25 Stati membri. Il 66 per cento dei rispondenti aveva sentito parlare del regolamento, ma la comprensione dei requisiti pratici resta, per ammissione della stessa Agenzia, migliorabile. La dimensione dell’impresa e’ il fattore che piu’ costantemente incide sul livello di maturita’: in tutti e cinque gli ambiti le imprese medie ottengono in media circa un punto in piu’ delle microimprese. La gestione degli incidenti e del ciclo di vita del prodotto e’ l’area piu’ debole, soprattutto per le microimprese, e la richiesta piu’ diffusa non e’ di ulteriore regolazione ma di strumenti, perche’ modelli di documentazione tecnica e modelli per lo sviluppo sicuro sono stati chiesti da oltre il 70 per cento dei rispondenti, mentre 142 hanno indicato la necessita’ di un sostegno finanziario. La sovrapposizione dei perimetri fra NIS 2, DORA e Cyber Resilience Act si traduce, per le imprese minori, in un problema di risorse prima ancora che di qualificazione giuridica.
Gli standard che dovrebbero rendere dimostrabile la conformita’ sono ancora in gara
Il 30 giugno 2026 il CEN e il CENELEC hanno pubblicato una gara aperta per selezionare i rapporteur incaricati di sviluppare gli standard verticali a supporto del regolamento (UE) 2024/2847. Il lavoro riguarda il CEN/TC 224, il CLC/TC 65X e il gruppo di lavoro 6 del CEN-CLC/JTC 13, in collaborazione con altri comitati tecnici di CEN, CENELEC ed ETSI, e risponde alla richiesta di normazione che la Commissione europea ha rivolto agli organismi europei di normazione per sostenere l’attuazione del regolamento. Il termine per le candidature e’ fissato al 4 agosto 2026.
Il dato non e’ procedurale. Nel sistema del nuovo quadro legislativo europeo le norme armonizzate sono lo strumento ordinario attraverso cui il fabbricante puo’ presumere la conformita’ del prodotto ai requisiti essenziali fissati dal regolamento, e quindi documentare la propria diligenza senza dover ricostruire da zero il percorso tecnico. Finche’ quelle norme non esistono, la conformita’ va dimostrata per altre vie, piu’ costose e meno prevedibili, e il costo di quell’incertezza ricade in misura maggiore proprio sulle imprese che hanno meno risorse per assorbirlo, cioe’ quelle che l’ENISA ha appena descritto come le piu’ fragili. E’ lo stesso problema che si incontra ogni volta che si prova a misurare un rischio con strumenti eterogenei e non ancora consolidati, come nel confronto fra i modelli di NIST, MIT, CSA ed ENISA.
Un’asimmetria che ricade su chi decide
Il quadro che ne esce e’ coerente e scomodo. La responsabilita’ si sposta verso l’alto, perche’ l’ACN ha chiarito che l’approvazione delle misure appartiene all’organo di vertice e non puo’ essere collocata altrove. Si sposta verso il basso, perche’ il Cyber Resilience Act raggiunge anche il produttore di software con pochi dipendenti. E si consolida sul piano personale, perche’ il rinvio agli articoli 2381 e 2392 del codice civile riporta la questione dentro la responsabilita’ degli amministratori. Nel frattempo, gli strumenti che dovrebbero rendere la conformita’ dimostrabile in modo ordinario e ripetibile sono ancora oggetto di una selezione di esperti che si chiudera’ ad agosto. L’amministratore che oggi deve approvare un piano di trattamento del rischio o un piano di adeguamento lo fa assumendosi una responsabilita’ piena rispetto a un parametro tecnico che, in larga parte, non e’ ancora stato scritto.
In ragione di quanto precede, ci si chiede se un ordinamento che anticipa il dovere rispetto allo strumento che ne consente la prova non finisca per trasformare la diligenza in una scommessa, e se non spetti proprio a chi scrive le regole garantire che la prova della conformita’ sia disponibile nel momento in cui la conformita’ diventa obbligatoria.
