Dal 22 agosto 2026, l’ACN (Agenzia per la Cybersicurezza Nazionale) ha avviato le prime ispezioni sui soggetti inclusi nel perimetro NIS2. E le prime domande che gli ispettori rivolgono — come documentato da Altalex nella sua analisi del 22 agosto — non sono dirette al CISO o al responsabile IT: sono dirette all’amministratore delegato. Questo cambia radicalmente il panorama della consulenza legale per i board aziendali italiani.
Cosa prevede il D.Lgs. 138/2024 (recepimento NIS2)
La Direttiva UE 2022/2555 (NIS2), recepita nell’ordinamento italiano con il D.Lgs. 4 settembre 2024, n. 138, introduce all’articolo 20 una disposizione che molti studi legali non hanno ancora pienamente integrato nella propria consulenza ai board:
«Gli organi di gestione dei soggetti essenziali e importanti approvano le misure di gestione dei rischi di cibersicurezza adottate da tali soggetti, ne controllano l’attuazione e possono essere ritenuti responsabili in caso di violazioni.»
Il testo è inequivocabile: la responsabilità non è tecnica ma gestionale, e ricade direttamente sugli organi di vertice — non sui responsabili IT. Per i legali che assistono board come banche dati con AI per studi legali, questa norma apre una nuova area di consulenza ad alto valore aggiunto.
A chi si applica: soggetti essenziali e importanti
Il D.Lgs. 138/2024 si applica a due categorie di soggetti:
- Soggetti essenziali: grandi imprese operanti in settori ad alta criticità (energia, trasporti, bancario, infrastrutture digitali, sanità, acque, spazio)
- Soggetti importanti: medie imprese degli stessi settori, più settori ad alta criticità allargati (servizi postali, gestione rifiuti, produzione chimica, alimentare, manifattura)
L’ACN ha avviato nel 2025 il processo di identificazione e notifica dei soggetti inclusi. Per molte medie imprese italiane, l’inclusione nel perimetro NIS2 è avvenuta senza che il management ne avesse piena consapevolezza. È questo il “vuoto di presidio” che l’articolo 20 mira a colmare — e che l’avvocato d’impresa è chiamato a segnalare proattivamente.
Per avvocati e legal counsel
Prima di depositare, sai come si orienta la Cassazione? Libra e ONE Legale AI: oltre 1.350.000 massime e dottrina certificata, con la fonte sempre citata.
Scopri Libra →Le tre obbligazioni giuridiche degli organi di vertice
L’art. 20 NIS2, letto in combinato con il considerando 74 della Direttiva, pone in capo agli organi di gestione tre distinte obbligazioni giuridicamente rilevanti:
1. Approvazione formale del quadro di gestione del rischio
Il board deve adottare con atto formale (delibera del CdA o organo equivalente) il quadro di gestione dei rischi di cibersicurezza. Non è sufficiente che un CISO o un responsabile IT abbia predisposto la documentazione: serve un atto del vertice che ne dimostri l’approvazione consapevole. In sede ispettiva, la domanda è: “Quando il board ha deliberato? Con quale atto?”
2. Formazione obbligatoria degli organi di gestione
Il considerando 74 stabilisce che la formazione degli organi di gestione sulla cibersicurezza non è facoltativa. È condizione di esercizio responsabile della funzione di vertice per i soggetti nel perimetro NIS2. Questo crea un obbligo documentale specifico: non basta che la formazione sia stata pianificata, deve essere stata effettuata con evidenza tracciabile (data, contenuti, partecipanti).
3. Meccanismo formalizzato di escalation degli incidenti
Deve esistere un processo documentato attraverso cui rischi e incidenti rilevanti raggiungono il board, con traccia delle decisioni assunte. Non è sufficiente che il CISO “informi” il management: il meccanismo di escalation deve essere formalizzato, verificabile e periodicamente revisionato.
La responsabilità personale degli amministratori: cosa rischia il vertice
La norma prevede che gli organi di gestione “possano essere ritenuti responsabili in caso di violazioni”. Tradotto in termini pratici, questo apre a scenari di responsabilità che l’avvocato d’impresa deve saper anticipare:
- Responsabilità amministrativa: le autorità di supervisione (ACN e autorità di settore) possono irrogare sanzioni che arrivano fino al 2% del fatturato annuo globale per i soggetti essenziali, con responsabilità personale diretta dei soggetti apicali
- Responsabilità civile: in caso di incidente grave che cagioni danni a terzi (clienti, fornitori, partner), la condotta del board può essere chiamata in causa come elemento costitutivo del danno
- Responsabilità verso i soci: la mancata adozione delle misure di presidio previste da NIS2 può configurare una violazione dei doveri di diligenza degli amministratori ex art. 2392 c.c.
L’impatto sulle polizze D&O: il rischio che le assicurazioni potrebbero non coprire
Un aspetto critico che pochi studi legali hanno già integrato nella consulenza ai board riguarda le polizze D&O (Directors & Officers Liability Insurance). Queste coperture garantiscono in linea generale la responsabilità personale degli amministratori derivante da atti di gestione. Contengono però esclusioni tipiche per condotte negligenti e per la mancata adozione di misure di diligenza ragionevole.
La domanda che NIS2 pone è diretta: se un incidente significativo colpisce un soggetto essenziale e l’ispezione accerta che il board non aveva deliberato alcun quadro di presidio né aveva ricevuto la formazione obbligatoria, quella condotta rientra nelle esclusioni della polizza D&O? La risposta dipende dalle condizioni specifiche del contratto, ma la probabilità che un giudice la consideri rilevante è concreta. Il momento per fare l’analisi è prima dell’incidente, non dopo.
Come lo studio legale può strutturare la consulenza NIS2 al board
Per l’avvocato che assiste imprese nel perimetro NIS2, il valore aggiunto della consulenza si concentra su quattro aree operative:
- Verifica dell’inclusione nel perimetro: molte aziende non sanno ancora se rientrano nella categoria “essenziale” o “importante”. L’ACN ha avviato le notifiche, ma la verifica autonoma è possibile e consigliata.
- Audit del gap documentale: analizzare cosa manca rispetto alle tre obbligazioni dell’art. 20 — delibera del board, tracciabilità della formazione, meccanismo di escalation formalizzato.
- Revisione delle polizze D&O: leggere le condizioni di polizza alla luce delle nuove obbligazioni NIS2 e segnalare eventuali esclusioni rilevanti prima che si verifichi un evento.
- Assistenza in caso di ispezione: le autorità di supervisione hanno poteri di accesso estesi. La presenza legale in sede ispettiva, la gestione del contraddittorio e la rappresentanza nei ricorsi sono aree di consulenza specializzata ad alta domanda crescente.
NIS2 e GDPR: il doppio regime di accountability
NIS2 non opera in isolamento: si sovrappone al Regolamento GDPR (UE 2016/679) che già prevede all’art. 5(2) il principio di accountability. Per le aziende soggette a entrambi i regimi — la maggioranza dei soggetti NIS2 — il board deve gestire un doppio sistema di accountability verificabile: sicurezza dei sistemi informatici (NIS2) e protezione dei dati personali (GDPR).
In caso di incidente che coinvolge sia sistemi informatici che dati personali — scenario frequentissimo negli attacchi ransomware — scattano contemporaneamente gli obblighi di notifica NIS2 (entro 24 ore per la segnalazione preliminare) e GDPR (entro 72 ore). Il coordinamento di queste notifiche è un’area di consulenza legale di grande rilevanza pratica.
Strumenti per lo studio legale che si occupa di NIS2
La ricerca normativa su NIS2 — tra Direttiva UE, D.Lgs. 138/2024, linee guida ENISA, provvedimenti ACN e giurisprudenza in formazione — richiede strumenti di aggiornamento strutturati. Libra AI, la banca dati con AI di Wolters Kluwer, permette la ricerca semantica su fonti integrate: normativa europea e nazionale, prassi, dottrina e giurisprudenza in materia di responsabilità degli amministratori e cybersicurezza.
ONE Legale AI supporta la gestione delle pratiche di consulenza societaria e compliance, con accesso a schemi di delibere, check-list operative e documentazione aggiornata sulle normative europee. Per la gestione integrata delle pratiche di studio, Kleos è il gestionale unico per gli avvocati che integra agenda, fatturazione e fascicoli digitali in un’unica piattaforma.
Per approfondire la disciplina NIS2 con un approccio pratico orientato alle professioni legali, la formazione legale e compliance di IPSOA Formazione offre percorsi aggiornati su GDPR, AI Act, NIS2 e DORA — le quattro normative europee che ridisegnano la responsabilità d’impresa nel digitale.
Sei un avvocato o un legal counsel?
Ricerca, redazione e revisione degli atti su fonti certificate.
ONE Legale AI: oltre 1.350.000 massime, dottrina IPSOA, CEDAM e UTET Giuridica e un’AI che cita la fonte. Libra le porta in Word e Outlook, nel tuo spazio di lavoro riservato.
Guidi un ufficio legale aziendale? Suite Next: contratti, contenzioso e legali esterni sotto controllo.
Agenzie Wolters Kluwer Italia: agenti ufficiali autorizzati, un referente dedicato e trent’anni di esperienza.
Contattaci per una consulenza dedicata
Vuoi strutturare la consulenza NIS2 per i tuoi clienti aziendali? Contattaci: i nostri esperti ti guideranno nelle soluzioni Wolters Kluwer per studi legali e compliance aziendale.