L’Agenzia per la Cybersicurezza Nazionale interviene nuovamente sull’applicazione della disciplina NIS 2, aggiornando le FAQ dedicate agli obblighi degli organi di amministrazione e direttivi dei soggetti NIS.

L’aggiornamento, pubblicato il 14 luglio 2026, integra le FAQ ODA.8 e ODA.9 e introduce tre nuovi chiarimenti, identificati come ODA.10, ODA.11 e ODA.12. L’obiettivo è precisare il ruolo degli organi di governo delle organizzazioni soggette alla normativa e distinguere con maggiore nettezza le decisioni strategiche dalle attività tecniche e operative.

L’approvazione degli atti strategici non può essere delegata

Il primo punto puntualizzato dall’Agenzia riguarda la responsabilità dell’organo di amministrazione.

L’approvazione dei documenti previsti dall’articolo 23 del decreto legislativo NIS costituisce una competenza propria dell’organo di amministrazione, sia esso collegiale, come un consiglio di amministrazione, oppure monocratico.

Questa funzione non può essere delegata a singoli amministratori, dirigenti, responsabili IT, responsabili della sicurezza o altre strutture organizzative.

Il messaggio dell’ACN è chiaro: la cybersicurezza, nell’ambito NIS 2, non può essere considerata una materia esclusivamente tecnica. Le decisioni fondamentali sulla gestione del rischio cyber devono essere assunte direttamente dal vertice dell’organizzazione.

Ciò che può essere delegato è invece lo svolgimento delle attività necessarie a dare concreta esecuzione alle decisioni approvate. L’organo amministrativo conserva quindi la responsabilità dell’indirizzo e della supervisione, mentre le funzioni aziendali competenti possono occuparsi dell’attuazione operativa.

Al vertice spettano indirizzo e pianificazione strategica

Con la nuova FAQ ODA.10, l’Agenzia chiarisce anche quale debba essere il contenuto dei documenti sottoposti all’approvazione degli organi di amministrazione.

Tali documenti devono definire gli indirizzi generali e la pianificazione strategica delle misure di sicurezza adottate dal soggetto NIS.

Il vertice deve quindi approvare il quadro entro il quale l’organizzazione intende gestire i rischi informatici: obiettivi, responsabilità, priorità, criteri decisionali, risorse e modalità generali di governo della sicurezza.

Non è invece necessario che l’organo di amministrazione approvi ogni singolo documento tecnico o operativo.

Procedure, manuali, istruzioni di lavoro, configurazioni, protocolli tecnici e altri documenti di dettaglio possono essere predisposti, aggiornati e gestiti dalle strutture aziendali competenti.

La distinzione tracciata dall’ACN evita due interpretazioni opposte ma ugualmente problematiche: da una parte, un coinvolgimento soltanto formale del consiglio di amministrazione; dall’altra, l’obbligo per il vertice di esaminare e approvare ogni modifica tecnica.

Un solo documento o più documenti coordinati

Le FAQ ODA.11 e ODA.12 precisano inoltre che la normativa non impone un unico modello documentale.

Ogni soggetto NIS può organizzare la documentazione secondo la soluzione più coerente con la propria struttura, le proprie dimensioni e il proprio sistema di governance.

Le decisioni strategiche possono quindi essere raccolte in un solo documento oppure distribuite tra più documenti coordinati, purché il sistema complessivo consenta di individuare chiaramente:

• gli indirizzi approvati dall’organo di amministrazione;
• le responsabilità attribuite alle diverse funzioni;
• le misure previste;
• le modalità di attuazione e controllo;
• i collegamenti con la documentazione tecnica e operativa.

L’elemento decisivo non è dunque il numero dei documenti, ma la loro coerenza, tracciabilità e capacità di rappresentare in modo chiaro il modello di governo della cybersicurezza.

Gli aggiornamenti tecnici non richiedono sempre una nuova approvazione

Un’ulteriore puntualizzazione riguarda gli aggiornamenti della documentazione.

Quando un documento strategico approvato dal vertice richiama procedure, manuali o altri documenti tecnici, la successiva modifica di questi ultimi non rende automaticamente necessaria una nuova approvazione del documento strategico.

Le strutture competenti possono quindi aggiornare la documentazione operativa senza riportare ogni modifica all’attenzione dell’organo di amministrazione.

Una nuova approvazione sarà tuttavia necessaria quando l’aggiornamento incide sugli elementi sostanziali già deliberati: indirizzi, responsabilità, priorità, modello organizzativo, criteri di gestione del rischio o scelte strategiche.

In altre parole, l’ACN distingue tra modifiche esecutive, che possono essere gestite operativamente, e modifiche capaci di cambiare la governance della sicurezza, che devono tornare al vertice.

La cybersicurezza entra stabilmente nella governance

Nel loro insieme, i chiarimenti confermano uno dei principi centrali della NIS 2: la sicurezza informatica deve essere governata al livello più alto dell’organizzazione.

L’organo di amministrazione non deve sostituirsi ai tecnici, ma deve comprendere i rischi, approvare le scelte fondamentali, verificare che siano disponibili risorse adeguate e controllare che le misure siano effettivamente attuate.

Le funzioni IT, cybersecurity, compliance, risk management e internal audit mantengono un ruolo essenziale, ma operano all’interno di un quadro strategico definito e approvato dal vertice.

Per i soggetti NIS, l’aggiornamento delle FAQ rappresenta quindi un invito a verificare non soltanto l’esistenza delle misure di sicurezza, ma anche la correttezza del processo con cui tali misure vengono decise, documentate, approvate e aggiornate.

Il punto non è produrre nuova documentazione per finalità meramente formali. È costruire una catena di responsabilità chiara, nella quale il vertice assume le decisioni strategiche e le strutture competenti ne assicurano l’attuazione concreta.