Cyber-D&O

Il paper “Cyber-D&O: dalla compliance alla prova nell’era NIS2” dell’avv. Manuela Soccol parte da un cambio di prospettiva: il rischio cyber non è più una questione delle funzioni informatiche, ma un rischio d’impresa che ricade sul consiglio di amministrazione. La NIS2, recepita con il d.lgs. 138/2024, affida agli organi di amministrazione l’approvazione delle misure di gestione del rischio e la sovrintendenza sulla loro attuazione; l’articolo 23 li rende responsabili delle violazioni, mentre l’articolo 38 disciplina le misure verso le persone fisiche. La sanzione accessoria dell’incapacità a svolgere funzioni dirigenziali scatta solo se il soggetto non rispetta la diffida; le sanzioni pecuniarie per i soggetti essenziali arrivano a 10 milioni di euro o al 2 per cento del fatturato mondiale.

L’autrice precisa che la responsabilità non è una conseguenza automatica dell’incidente. Conta l’adeguatezza dell’assetto organizzativo (articolo 2086 del codice civile) e il processo con cui il rischio è stato istruito, portato in consiglio e riesaminato. La business judgment rule protegge le scelte informate e ragionevoli, non l’inosservanza di obblighi puntuali.

Le FAQ ACN del 14 luglio 2026 chiariscono il riparto dei ruoli: gli organi approvano indirizzi e pianificazione strategica, in modo esclusivo e non delegabile; procedure e istruzioni di dettaglio restano alle funzioni competenti. Per le entità finanziarie si applica DORA, che all’articolo 5 assegna all’organo di gestione la responsabilità finale del quadro dei rischi informatici.

Da qui il concetto di governance difendibile: una policy non basta, bisogna dimostrare chi ha deciso, quando, con quali informazioni e con quali controlli. L’audit trail (verbali, report, registri degli incidenti, test, piani di continuità, formazione) è lo strumento probatorio, e comprende anche le evidenze che non richiedono approvazione degli organi.

Tre casi mettono alla prova il principio:

• Ransomware con minaccia di esfiltrazione. Si contesta l’assenza di misure ragionevoli (backup non testati, patching, escalation), non l’attacco; entra in gioco anche la responsabilità dell’ente ai sensi del d.lgs. 231/2001, aggravata dalla legge 90/2024.
• Errore tra CC e CCN. Un errore banale diventa un caso di governance se mancano formazione, istruzioni e valutazione documentata del rischio; il Garante ha sanzionato casi analoghi con importi da 8.400 a 70.000 euro.
• Fornitore o cloud provider compromesso. «La colpa è del fornitore» non basta: servono mappatura, due diligence, contratti con notifica degli incidenti ed exit strategy, e monitoraggio continuo. Per i soggetti fuori dal perimetro di DORA, la disciplina di quel regolamento sui fornitori ha valore metodologico, non vincolante; la sicurezza della filiera resta però tra le misure richieste dalla NIS2.

La parte assicurativa indica i punti da verificare nelle polizze cyber e D&O: definizione di sinistro, claims made e retroattività, condizioni di assicurabilità e questionari, silent cyber, cyber war, riscatto, incidenti presso terzi, sanzioni e spese legali. L’indagine IVASS del 2023 va letta tenendo conto del suo perimetro (cinquanta polizze, rivolte a PMI e privati).

La conclusione è il passaggio dalla compliance alla prova, riassunto da una checklist di sette domande per il consiglio. Nessuna delle proposte europee in corso (Digital Omnibus, modifiche mirate alla NIS2, nuovo Cybersecurity Act) è in vigore: restano validi obblighi e termini attuali.