Polizze D&O e NIS2: responsabilità degli amministratori e nuove sfide per la governance cyber

La cybersecurity entra sempre più direttamente nelle responsabilità del Consiglio di Amministrazione. Tra obblighi di supervisione, gestione del rischio informatico e coperture assicurative, la NIS2 impone un cambio di prospettiva: non basta adottare misure di sicurezza, occorre dimostrare che siano state effettivamente applicate, monitorate e supervisionate. Quale ruolo assumono le polizze D&O nella tutela degli amministratori?

Dal rischio IT al rischio di governance

Il rischio cyber è migrato definitivamente dai server del reparto IT ai tavoli del Consiglio di Amministrazione. Non si tratta più soltanto di una minaccia tecnica da affidare alle funzioni informatiche. È un rischio di impresa, che incide sulla continuità operativa, sulla protezione degli asset informativi, sulla reputazione aziendale, sui rapporti contrattuali e, sempre più chiaramente, sulla responsabilità degli organi sociali.

La trasformazione digitale, la crescente dipendenza da infrastrutture tecnologiche e l’aumento degli attacchi informatici hanno reso evidente una cosa: le conseguenze di un incidente cyber vanno ben oltre il perimetro tecnico. Interruzioni dell’attività, contenziosi contrattuali, sanzioni regolatorie, richieste risarcitorie di clienti o partner e danni reputazionali incidono sul valore dell’impresa e sulle scelte del management.

In questo contesto si inserisce la Direttiva (UE) 2022/2555 (NIS2), recepita in Italia con il d.lgs. 4 settembre 2024, n. 138, che segna un cambio di paradigma: la cybersicurezza non è più considerata soltanto una questione tecnologica, ma diviene parte integrante del sistema di governo dei rischi aziendali. Gli organi di amministrazione e direttivi assumono un ruolo diretto nella supervisione delle misure di sicurezza e nella gestione del rischio cyber. È una logica che richiama da vicino un dovere già scritto nel codice civile. L’articolo 2086, secondo comma, impone all’imprenditore che operi in forma societaria o collettiva di istituire un assetto organizzativo, amministrativo e contabile adeguato alla natura e alle dimensioni dell’impresa[1].

Il tema assume particolare rilevanza anche sotto il profilo della responsabilità degli amministratori. La disciplina nazionale delinea una responsabilità personale e diretta degli organi apicali, che trova la propria origine negli obblighi di governo e supervisione fissati dall’articolo 23, comma 1, del decreto NIS.

La norma affida agli organi di amministrazione e direttivi tre compiti: approvare le misure di gestione dei rischi, sovrintendere alla loro implementazione, rispondere delle violazioni. Sul piano sanzionatorio, l’articolo 38, comma 5, aggiunge che la persona fisica responsabile di un soggetto essenziale, o che ne sia rappresentante legale, può essere ritenuta responsabile dell’inadempimento quando il soggetto rappresentato violi il decreto. Il comma 6 prevede poi la sanzione amministrativa accessoria dell’incapacità a svolgere funzioni dirigenziali all’interno del medesimo soggetto. Non si affianca automaticamente alle sanzioni pecuniarie: può essere disposta soltanto se il soggetto non adempie, nei termini stabiliti, alla diffida di cui all’articolo 37, commi 6 e 7.

All’esito di un incidente informatico la questione non sarà stabilire se il rischio potesse essere eliminato, obiettivo evidentemente irrealistico. Sarà verificare se l’impresa avesse predisposto assetti adeguati alla natura e alle dimensioni dell’attività svolta, e se quel rischio fosse stato identificato, valutato, monitorato e gestito. È in questa prospettiva che il dialogo tra cybersicurezza, governance e coperture D&O assume oggi una rilevanza centrale.

NIS2 e D&O: il nuovo ruolo del Consiglio di Amministrazione

La NIS2 attribuisce agli organi amministrativi una responsabilità che va oltre la mera presa d’atto delle attività svolte dalle funzioni tecniche. Il decreto di recepimento individua, infatti, tra gli obblighi principali dei soggetti NIS l’adozione di misure di gestione del rischio cyber, la supervisione della loro implementazione e la responsabilizzazione degli organi di amministrazione e direttivi[2].

Dalla fine del 2025 quegli obblighi hanno anche un contenuto puntuale. Le misure di sicurezza di base sono fissate dalla determinazione ACN n. 379907 del 19 dicembre 2025, applicabile dal 15 gennaio 2026. Per adeguarsi, i soggetti dispongono di diciotto mesi dalla comunicazione di inserimento nell’elenco dei soggetti NIS: per chi vi è stato inserito nel 2025 la scadenza cade a ottobre 2026. Per i soggetti inseriti per la prima volta nel 2026, la determinazione n. 127434 del 13 aprile 2026 porta il termine al 31 luglio 2027.

La cybersicurezza diventa così una componente della governance societaria. Il Consiglio di Amministrazione non può limitarsi a ricevere informazioni occasionali dal responsabile IT o dal CISO. Deve essere posto nelle condizioni di comprendere il livello di esposizione dell’organizzazione, valutare le priorità di intervento, allocare risorse adeguate e verificare che i presidi predisposti siano coerenti con il profilo di rischio aziendale.

Le FAQ pubblicate e aggiornate dall’Agenzia per la Cybersicurezza Nazionale il 14 luglio 2026 contribuiscono a chiarire un aspetto particolarmente delicato: la distinzione tra livello strategico e livello operativo. Secondo i chiarimenti dell’ACN, gli organi di amministrazione devono approvare gli indirizzi e la pianificazione strategica delle misure di sicurezza. La documentazione tecnica e operativa, invece, può essere predisposta, aggiornata e gestita dalle funzioni competenti senza una nuova approvazione degli organi di governo, salvo che la richiedano il modello organizzativo adottato o specifiche scelte interne[3].

Tale impostazione consente di evitare due errori speculari. Il primo è l’eccessiva tecnicizzazione del ruolo degli amministratori, che non possono essere chiamati a validare ogni procedura o controllo operativo. Il secondo è la tentazione di delegare del tutto la gestione del rischio cyber alle funzioni specialistiche, senza un’effettiva supervisione. La governance richiesta dalla NIS2 si colloca proprio tra questi due estremi: il management definisce gli indirizzi, valuta il rischio e supervisiona l’attuazione; le strutture tecniche implementano concretamente le misure necessarie.

A conferma della centralità del vertice, le stesse FAQ ACN precisano che l’approvazione dei documenti previsti dall’articolo 23 costituisce competenza esclusiva dell’organo collegiale o, ove previsto, monocratico, e non è delegabile[4].

Ne deriva che la responsabilità degli amministratori non dipende dalla loro capacità di comprendere i dettagli tecnici di una vulnerabilità o di un attacco. Dipende dalla capacità di assicurare che l’organizzazione disponga di processi decisionali, ruoli, controlli e flussi informativi adeguati a governare il rischio. In altri termini, la questione centrale non è se il board sappia gestire un incidente cyber, ma se abbia creato le condizioni per consentire all’organizzazione di farlo efficacemente.

La governance difendibile: quando la compliance deve essere dimostrata

Nel contesto post-NIS2 la semplice esistenza di policy, procedure o manuali non è più sufficiente. La vera sfida è dimostrare che tali strumenti siano stati approvati, applicati, aggiornati, testati e monitorati nel tempo. La differenza tra compliance formale e governance effettiva si misura sempre più sul piano della prova[5].

Dopo un incidente informatico, autorità, assicuratori, soci o controparti contrattuali cercheranno di ricostruire il percorso decisionale che ha preceduto l’evento. Sarà quindi necessario dimostrare quali rischi fossero stati identificati, quali valutazioni fossero state svolte, quali misure fossero state adottate, quali risorse fossero state stanziate e quali controlli fossero stati effettuati per verificarne l’efficacia[6].

In questa prospettiva acquisisce particolare rilevanza il concetto di audit trail. Esso non coincide soltanto con la registrazione tecnica degli eventi informatici. Comprende l’insieme delle evidenze che consentono di ricostruire l’intero ciclo decisionale. Vi rientrano i verbali del Consiglio di Amministrazione, i report periodici e i registri degli incidenti. Contano inoltre i risultati di vulnerability assessment e penetration test, i piani di continuità operativa, la documentazione sulla formazione del personale e le attività di audit interno[7].

Molte di queste evidenze sono operative e di controllo: non richiedono necessariamente l’approvazione degli organi apicali, ma documentano l’attuazione, il monitoraggio e il riesame delle misure. Per i soli documenti che quell’approvazione la richiedono, la guida alla lettura delle specifiche di base ACN dedica un’apposita sezione, l’appendice C. Vi sono elencati undici documenti da sottoporre agli organi di amministrazione e direttivi, dall’organizzazione per la sicurezza informatica al piano di gestione degli incidenti.

Particolare attenzione merita il flusso informativo verso il Consiglio di Amministrazione. Una governance realmente difendibile presuppone che gli amministratori ricevano periodicamente informazioni comprensibili e orientate al rischio aziendale, non esclusivamente dati di natura tecnica. Minacce emergenti, vulnerabilità critiche, stato di attuazione dei piani di remediation, incidenti rilevanti, rischi derivanti dai fornitori strategici e adeguatezza delle coperture assicurative dovrebbero costituire parte integrante dell’informativa direzionale[8].

La vera domanda che verrà posta dopo un incidente non sarà dunque se l’organizzazione disponesse formalmente di una procedura, ma se tale procedura fosse effettivamente conosciuta, applicata, verificata e supervisionata. È qui che si colloca il concetto di “governance difendibile”: la capacità dell’impresa di dimostrare, ex post, la ragionevolezza e la proporzionalità delle scelte adottate ex ante.

Tre incidenti, una sola domanda

La varietà degli incidenti cyber che possono colpire un’organizzazione è estremamente ampia. Tuttavia, nella prospettiva della responsabilità degli amministratori, le domande che verranno poste ex post sono spesso le medesime.

Il primo scenario è rappresentato dal ransomware con fermo operativo e minaccia di esfiltrazione dei dati. In queste situazioni vengono messi alla prova i processi di gestione della crisi, la capacità di ripristino dei sistemi e la disponibilità di backup efficaci. E, soprattutto, le procedure di escalation e la qualità delle decisioni assunte nelle prime ore successive all’evento[9].

Il secondo scenario riguarda il data breach derivante da errore umano, come l’ipotesi ricorrente dell’invio di una comunicazione utilizzando il campo “CC” anziché “CCN”. Si tratta di eventi apparentemente banali ma spesso significativi sotto il profilo organizzativo, poiché consentono di verificare l’effettività della formazione del personale, l’esistenza di procedure di gestione delle violazioni e la capacità dell’organizzazione di documentare le valutazioni svolte e le decisioni assunte[10].

Il terzo scenario è rappresentato dalla compromissione di un fornitore ICT o di un cloud provider. In un ecosistema digitale sempre più interconnesso, la cybersicurezza dipende anche dalla sicurezza della filiera digitale. Diventano quindi rilevanti la mappatura dei fornitori critici, le attività di due diligence, le clausole contrattuali di sicurezza e il monitoraggio continuativo dei soggetti terzi da cui l’organizzazione dipende per l’erogazione di servizi essenziali[11].

Gli incidenti sono diversi per natura, impatto e modalità di gestione. Tuttavia, il criterio di valutazione rimane sostanzialmente identico: il rischio era stato identificato? Era stato portato all’attenzione degli organi competenti? Erano state adottate misure adeguate? Le decisioni erano state documentate? È intorno a queste domande che si giocherà sempre più frequentemente la valutazione della diligenza degli amministratori e del management.

Polizze D&O e cyber insurance: la necessità di un approccio coordinato

L’evoluzione della governance cyber impone una riflessione anche sul programma assicurativo aziendale. Le polizze cyber e le polizze D&O rispondono infatti a esigenze diverse ma tra loro strettamente connesse.

La polizza cyber tende a coprire i costi direttamente collegati all’incidente informatico, quali attività di forensic analysis, ripristino dei sistemi, business interruption, consulenza specialistica, gestione della crisi e responsabilità verso terzi. La polizza D&O interviene invece quando amministratori o dirigenti siano destinatari di contestazioni fondate su presunti errori gestionali, omissioni o carenze nell’attività di supervisione[12].

Dopo un incidente significativo, le due coperture possono interagire e talvolta sovrapporsi. Conviene quindi verificare in anticipo la coerenza fra il sistema di gestione del rischio cyber e il programma assicurativo. Vanno guardati da vicino gli obblighi di notifica, i requisiti minimi di sicurezza, le condizioni di assicurabilità e i rischi legati a fornitori terzi e servizi cloud[13].

La copertura assicurativa non può tuttavia sostituire una governance efficace. Al contrario, quanto più la cybersicurezza diventa elemento strutturale degli assetti organizzativi, tanto più il programma assicurativo deve essere letto come parte integrante del sistema di gestione del rischio.

Conclusioni: dalla conformità alla capacità di provarla

La traiettoria tracciata dalla NIS2 conduce a una conclusione chiara: la cybersicurezza non può più essere considerata un mero adempimento tecnico o regolatorio. Essa è oggi una componente essenziale della governance aziendale e, come tale, incide direttamente sulla posizione degli amministratori, del top management e delle funzioni di controllo[14].

La conformità normativa rimane certamente necessaria, ma non è più sufficiente. Dopo un incidente cyber non rileverà soltanto l’esistenza di policy, procedure o piani di continuità operativa. Rileverà la capacità dell’organizzazione di dimostrare che quegli strumenti erano conosciuti, applicati, aggiornati e supervisionati nel tempo[15].

Il passaggio dalla compliance alla prova rappresenta quindi il vero cambiamento introdotto dalla nuova stagione normativa europea. Per gli amministratori la migliore linea di difesa non consiste nel poter affermare che l’impresa disponeva di una procedura. Consiste nel dimostrare che quella procedura era parte di un sistema vivo: verificato, insegnato, monitorato e migliorato nel tempo.

Nel contesto post-NIS2, il vero interrogativo per il board non è più soltanto:
«Siamo conformi?», ma piuttosto: «Siamo in grado di provarlo?».

Biografia e Note:

[1] Direttiva (UE) 2022/2555 (NIS2); d.lgs. 4 settembre 2024, n. 138, di recepimento della Direttiva NIS2 in Italia, pubblicato in G.U. Serie Generale n. 230 del 1° ottobre 2024, in vigore dal 16 ottobre 2024 e applicabile dal 18 ottobre 2024 per espressa previsione dell’articolo 41, comma 1. La responsabilità personale degli organi apicali è disciplinata dall’articolo 23, comma 1, e dall’articolo 38, commi 5 e 6, del decreto. Il dovere di assetti adeguati richiamato nel testo è quello dell’articolo 2086, secondo comma, del codice civile, introdotto dall’articolo 375 del d.lgs. 12 gennaio 2019, n. 14.

[2] D.lgs. 4 settembre 2024, n. 138, artt. 23 e 24; FAQ ACN sui profili generali degli obblighi NIS.

[3] FAQ ACN ODA.10, ODA.11 e ODA.12, di nuova introduzione, e FAQ ODA.8 e ODA.9, integrate, aggiornate il 14 luglio 2026, relative agli obblighi degli organi di amministrazione e direttivi e alla distinzione tra documentazione strategica e documentazione operativa.

[4] FAQ ACN ODA.8 e ODA.9, aggiornate il 14 luglio 2026: l’approvazione dei documenti di cui all’articolo 23 del decreto NIS è competenza esclusiva dell’organo di amministrazione, collegiale o monocratico, e non è delegabile.

[5] Direttiva (UE) 2022/2555, artt. 20 e 21; d.lgs. n. 138/2024, artt. 23 e 24.

[6] ACN, determinazione n. 379907 del 19 dicembre 2025, modalità e specifiche di base; ACN, Linee Guida NIS. Specifiche di base. Guida alla lettura, versione 2.1, aprile 2026.

[7] ACN, Linee Guida NIS. Specifiche di base. Guida alla lettura, versione 2.1, aprile 2026, con particolare riferimento alle evidenze documentali, all’approccio basato sul rischio e all’appendice C, che elenca gli undici documenti soggetti ad approvazione degli organi di amministrazione e direttivi.

[8] Regolamento (UE) 2022/2554 (DORA), artt. 5, 6, 11 e 13; ACN, Linee Guida NIS. Specifiche di base. Guida alla lettura, versione 2.1, aprile 2026.

[9] CSIRT Italia, Ransomware. Misure di protezione e organizzazione dei dati per un ripristino efficace, agosto 2021; ENISA, Threat Landscape 2025, 1° ottobre 2025.

[10] European Data Protection Board, Guidelines 9/2022 on Personal Data Breach Notification under GDPR, versione 2.0, adottate il 28 marzo 2023; Regolamento (UE) 2016/679, artt. 33 e 34.

[11] Direttiva (UE) 2022/2555, art. 21, par. 2, lett. d), e considerando 85 e 86; d.lgs. n. 138/2024, art. 24; ACN, determinazione n. 379907 del 19 dicembre 2025, modalità e specifiche di base.

[12] Per le sole coperture cyber, IVASS, Indagine sulle polizze a copertura del cyber risk, ottobre 2023, che ha per oggetto cinquanta polizze in commercio al 30 luglio 2023, ventisei rivolte alle piccole e medie imprese e ventiquattro a individui e famiglie. L’indagine non riguarda le polizze D&O né i programmi assicurativi delle grandi imprese: il perimetro va tenuto presente.

[13] IVASS, Indagine sulle polizze a copertura del cyber risk, ottobre 2023 (in particolare par. 3.1.2 sulle condizioni di assicurabilità e 3.1.4 sull’esclusione dei danni derivanti da infrastrutture esterne non sotto il controllo dell’assicurato); Regolamento (UE) 2022/2554 (DORA).

[14] Direttiva (UE) 2022/2555; d.lgs. n. 138/2024; Regolamento (UE) 2022/2554 (DORA).

[15] ACN, determinazione n. 379907 del 19 dicembre 2025, modalità e specifiche di base; ACN, Linee Guida NIS. Specifiche di base. Guida alla lettura, versione 2.1, aprile 2026; EDPB, Guidelines 9/2022 on Personal Data Breach Notification under GDPR, versione 2.0.