NIS2: le nuove FAQ ACN chiariscono i compiti del Consiglio di amministrazione

Il 14 luglio 2026 l’Agenzia per la Cybersicurezza Nazionale ha aggiornato le FAQ dedicate agli obblighi degli organi di amministrazione e direttivi dei soggetti NIS, integrando le FAQ ODA.8 e ODA.9 e introducendo le nuove FAQ ODA.10, ODA.11 e ODA.12.

I chiarimenti riguardano soprattutto la distinzione tra le decisioni strategiche, che devono restare in capo al vertice dell’organizzazione, e le attività tecniche e operative, che possono essere affidate alle strutture competenti.

Le approvazioni del CdA non possono essere delegate

L’ACN conferma che l’approvazione dei documenti previsti dall’articolo 23 del decreto legislativo n. 138/2024 è una competenza esclusiva dell’organo collegiale o, quando previsto, dell’organo monocratico.

Il Consiglio di amministrazione non può quindi trasferire a un dirigente, al responsabile IT o al consulente esterno il compito di approvare le scelte fondamentali relative alla gestione del rischio informatico.

Possono invece essere delegate le attività necessarie per dare concreta attuazione alle decisioni adottate: predisposizione dei documenti, esecuzione delle misure, aggiornamento delle procedure e gestione operativa della sicurezza.

La precisazione è coerente con l’articolo 23 del decreto NIS, secondo il quale gli organi di amministrazione approvano le modalità di implementazione delle misure, ne sovrintendono all’attuazione e sono responsabili delle violazioni.

Al CdA spettano gli indirizzi strategici, non i manuali tecnici

La nuova FAQ ODA.10 chiarisce quali documenti debbano essere effettivamente portati all’approvazione del vertice.

Il CdA deve approvare i documenti che definiscono:

• gli indirizzi dell’organizzazione in materia di cybersicurezza;

• gli obiettivi e le priorità;

• la pianificazione delle misure di sicurezza;

• i ruoli e le responsabilità;

• le risorse e le principali scelte di gestione del rischio.

Non è invece necessaria l’approvazione consiliare per la documentazione strettamente tecnica e operativa, come manuali, procedure di dettaglio e istruzioni operative. Questi documenti possono essere predisposti e aggiornati direttamente dalle funzioni aziendali competenti.

Un unico documento o più documenti coordinati?

Le FAQ ODA.11 e ODA.12 precisano inoltre che non esiste un formato documentale obbligatorio.

Il soggetto NIS può raccogliere gli indirizzi strategici in un unico documento oppure utilizzare più policy e piani tra loro coordinati. Ciò che conta non è il numero dei documenti, ma che il sistema sia completo, coerente, aggiornato e concretamente applicato.

La documentazione tecnica può inoltre essere modificata senza dover sottoporre nuovamente all’approvazione del CdA il documento strategico che la richiama, purché non vengano alterati gli indirizzi, gli obiettivi e le decisioni già approvate.

Cosa cambia concretamente per le organizzazioni

Le nuove FAQ evitano due errori opposti.

Il primo è limitarsi a una delibera generica con cui il CdA trasferisce ogni responsabilità alla funzione IT. Una simile delega non è sufficiente: il vertice deve comprendere il rischio, adottare le decisioni strategiche e controllarne l’attuazione.

Il secondo è sottoporre al Consiglio ogni modifica tecnica, anche minima, rendendo il sistema lento e difficilmente gestibile.

La soluzione indicata dall’ACN è una governance su due livelli: il CdA approva e sorveglia le scelte strategiche; le funzioni competenti le traducono in procedure, controlli e attività operative.

Per i soggetti NIS diventa quindi essenziale predisporre una documentazione che distingua chiaramente ciò che deve essere deliberato dal vertice da ciò che può essere gestito e aggiornato a livello tecnico.