Quotidiano digitale

L’articolo 7 del Dlgs 138/2024, che ha attuato in Italia la direttiva 2022/2555 (Nis2), richiede agli operatori Nis (importanti e essenziali) di fornire e/o aggiornare entro il 31 maggio le informazioni relative, fra l’altro, alle persone fisiche responsabili degli adempimenti Nis, al sostituto del punto di contatto e agli accordi di condivisione delle informazioni. La «mancata registrazione, comunicazione o aggiornamento delle informazioni ex articolo 7, commi 1, 3, 4, 5 e 7» del decreto o l’«inosservanza delle modalità stabilite dall’Autorità nazionale competente Nis ai sensi dell’articolo 7» del decreto precedono una sanzione pecuniaria amministrativa fino allo 0,1% del totale fatturato annuo su scala globale dell’esercizio precedente per i soggetti Nis essenziali e fino allo 0,07% del medesimo parametro per i soggetti Nis importanti (per le Pa la sanzione prevede un minimo di 3mila fino a 50mila euro - articolo 38, comma 10, del decreto).

L’Autorità per la cybersicurezza nazionale (Acn) ha emanato a tal fine una determina (136117 del 10 aprile 2025) che specifica, in particolare, la necessità di inserire sul portale Acn l’elenco di tutti i componenti dell’organo amministrativo (per le Pa, l’organo direttivo) quali «persone fisiche responsabili» delle violazioni ex articolo 38, comma 5, del decreto (articolo 15, comma 3, lettera b) della determina).

La determina effettua, quindi, una «chiamata di responsabilità condivisa» dell’intero consiglio di amministrazione, senza limitarsi alle «posizioni di garanzia» che l’articolo 38, comma 5, del decreto incardina espressamente (fra l’altro) in capo al legale rappresentante (di solito, il presidente del consiglio) e all’amministratore delegato. Questi ultimi, infatti, «assicura[no] il rispetto delle disposizioni di cui al presente decreto» e «possono essere ritenut[i] responsabili dell’inadempimento in caso di violazione del presente decreto da parte del soggetto di cui hanno la rappresentanza». Una previsione, questa, che risulta coerente sia con la normale operatività dell’organo collegiale – che, in base allo statuto, delega talune funzioni al proprio interno, di solito, all’amministratore delegato -, sia con il naturale ruolo del Presidente/legale rappresentante.

Ferma la necessità di indicare sul portale Acn tutti i componenti dell’organo collegiale in base alla determina, da una attenta analisi sembrerebbe possibile procedere con una delega «interna all’organo» in base ai principi generali. Quanto precede, senza necessariamente mutare o limitare le relative responsabilità, almeno nei confronti dei terzi, fermi gli adempimenti che il decreto riferisce espressamene all’organo nella sua collegialità, rappresenta una interpretazione che permetterebbe di garantire un metodo efficiente per adempiere ai relativi obblighi derivanti dalla determina entro il 31 maggio.

L’adempimento prevede un’espressa “accettazione” di tale designazione da parte degli amministratori sul portale Acn dopo aver ricevuto una Pec dall’Acn. A differenza del passato dunque, il quadro normativo Nis2 (che di suo è estremamente comparabile a un regolamento invece che a una direttiva) tende a costruire una responsabilità diffusa nelle organizzazioni, pubbliche o private, che sono rientrano nell’alveo delle entità (essenziali e importanti) vitali del sistema economico e sociale Ue.

Gli amministratori sono preparati? La società li ha compiutamente informati? Se ci fosse inerzia della società, gli amministratori hanno comunque l’obbligo di informarsi e “formarsi” sulla materia (articolo 23, comma 2, lettera a) del decreto) verosimilmente anche a spese della società.

Di rilievo anche l’obbligo di notificare, sempre entro il 31 maggio, l’elenco degli accordi di condivisione delle informazioni. Si tratta degli accordi con cui i soggetti Nis e «altri soggetti» si scambiano su base volontaria «pertinenti informazioni sulla sicurezza informatica» (ad esempio, vulnerabilità, minacce informatiche eccetera) per prevenire/rilevare gli incidenti ed aumentare il livello di sicurezza informatica (articolo 17 del decreto). Tali accordi, da stipularsi per iscritto anche solo per definire l’ambito di circolazione delle informazioni, pongono delicati temi di riservatezza e protezione delle informazioni che necessitano un attento scrutinio tecnico/legale sia quanto alle modalità di scambio che al contenuto delle informazioni condivise.

© RIPRODUZIONE RISERVATA