L’attuazione della direttiva (UE) 2022/2555 (NIS2) attraverso il d.lgs. 4 settembre 2024, n. 138, segna un salto qualitativo nel modo in cui l’ordinamento guarda alla sicurezza informatica. L’attenzione non è più concentrata solo sul presidio tecnico dei sistemi, ma si sposta in modo deciso sulla governance: organi di amministrazione, vertici direttivi, modelli organizzativi, catene di fornitura, contratti.
In questo quadro gli articoli 23 e 24 del decreto rappresentano il cuore normativo della trasformazione. L’art. 23, dedicato agli obblighi degli organi di amministrazione e direttivi dei soggetti essenziali e importanti, e l’art. 24, incentrato sulle misure di gestione del rischio, costruiscono un sistema in cui la “cybersecurity” diventa un dovere legale di organizzazione, formazione e controllo, e non più solo un’opzione tecnica raccomandata.
Lo scopo di questo contributo è duplice. In primo luogo, proporre una lettura dogmaticamente rigorosa dell’art. 23 come clausola generale di adeguatezza organizzativa, evidenziandone le implicazioni sul terreno della legalità, della determinatezza e della ragionevolezza, alla luce dei principi costituzionali. In secondo luogo, mostrare come la combinazione tra art. 23 e art. 24 produca un effetto di “accountability estesa” sulla supply chain, che impone a soggetti essenziali e importanti una profonda revisione del proprio impianto contrattuale con fornitori, partner e aventi causa.
I. L’art. 23 d.lgs. 138/2024: contenuto e qualificazione dogmatica
L’art. 23 si colloca nel Capo IV del decreto, dedicato alle “misure di gestione del rischio e obblighi di notifica”. È una norma breve, ma densa sul piano sistematico.
Da un lato, essa attribuisce agli organi di amministrazione e agli organi direttivi dei soggetti essenziali e importanti il compito di approvare le modalità di implementazione delle misure di gestione del rischio previste dall’art. 24 e di sovrintendere all’attuazione di tutti gli obblighi NIS che gravano sull’ente. L’idea di fondo è che la sicurezza informatica non possa essere delegata integralmente al livello tecnico, ma debba essere assunta come scelta strategica di governo dell’impresa o dell’ente.
Dall’altro lato, l’articolo introduce, in modo espresso, un obbligo di formazione in capo ai componenti di tali organi. I vertici devono “seguire una formazione adeguata” in materia di sicurezza informatica e promuovere la formazione periodica del personale. Accanto a ciò, devono essere informati periodicamente – o tempestivamente, in caso di necessità – sugli incidenti significativi e sulle notifiche agli organismi competenti. La norma, quindi, disegna un circuito completo: governance, formazione, informazione.
Su questo sfondo si pone il problema della qualificazione dogmatica dell’art. 23. È una “norma in bianco”? È una clausola generale? È un semplice rinvio alla direttiva NIS2?
La risposta più persuasiva sembra essere quella che legge l’art. 23 come una clausola generale di adeguatezza organizzativa in materia di sicurezza informatica. Non siamo di fronte a un precetto totalmente vuoto, che si limiterebbe a rinviare in blocco ad altre fonti per la determinazione del contenuto; la norma individua con sufficiente chiarezza i destinatari, l’oggetto degli obblighi, il collegamento con le misure di gestione del rischio. L’indeterminatezza riguarda non l’an dell’obbligo, ma il quomodo e il quantum, cioè il contenuto concreto della formazione e l’ampiezza delle misure di presidio.
In questo, l’art. 23 si colloca in un solco già noto all’ordinamento. Si pensi all’art. 2086 c.c., nella sua versione post riforma, che esige “assetti organizzativi, amministrativi e contabili adeguati” senza definirne in modo puntuale la struttura; oppure all’art. 32 GDPR, che impone misure di sicurezza “adeguate” in base a rischi e stato dell’arte; o, ancora, al d.lgs. 231/2001, che rimette ai modelli organizzativi “idonei a prevenire reati” la concretizzazione dello standard di diligenza dell’ente. Anche in questi casi il legislatore lavora per standard, e non per regole minuziosamente codificate.
L’art. 23 del decreto NIS prosegue questa tendenza, trasponendola nel campo della cyber governance: l’obbligo è normato in termini di “adeguatezza”, “approvazione”, “sovrintendenza” e “formazione”, mentre il contenuto specifico è demandato a una combinazione di fonti: direttiva europea, atti dell’Agenzia per la cybersicurezza nazionale, standard tecnici internazionali, prassi di settore.
II. Legalità, determinatezza e ragionevolezza: il problema dell’“adeguatezza” sanzionabile
Se la norma si presenta come clausola generale, il passo successivo è interrogarsi sulla sua compatibilità con i principi di legalità, determinatezza e ragionevolezza, soprattutto alla luce del fatto che la violazione degli obblighi posti dall’art. 23 può condurre a sanzioni amministrative rilevanti, anche personali, nei confronti dei vertici.
Il punto di partenza è la constatazione – intuitivamente semplice, ma giuridicamente densa – che l’ente e i suoi amministratori possono essere sanzionati non soltanto per l’assenza totale di formazione o di misure organizzative, ma anche per la loro “inadeguatezza”. Ma un precetto che viene sanzionato nella sua inadeguatezza presuppone che esistano parametri di adeguatezza conoscibili ex ante dal destinatario. In caso contrario, il rischio è quello di una responsabilità costruita ex post, sulla base di un giudizio tecnico-amministrativo che potrebbe variare in funzione dell’Autorità, del contesto o, peggio, dell’esito dell’incidente.
Qui si innesta la questione di compatibilità costituzionale. L’art. 3 della Carta impone che il trattamento sanzionatorio sia ragionevole e non arbitrario; l’art. 23 Cost. esige che le prestazioni patrimoniali e personali imposte ai consociati siano fondate su una base legale sufficientemente chiara. Nel settore delle sanzioni amministrative la giurisprudenza costituzionale non richiede il livello di determinatezza proprio della materia penale, ma non rinuncia al criterio della prevedibilità: il destinatario deve poter sapere, con un grado di ragionevole certezza, quali condotte sono esposte al rischio di sanzione.
L’art. 23, letto isolatamente, sembrerebbe effettivamente “largo” al punto da esporre a sanzione un concetto etereo di adeguatezza. Tuttavia la valutazione va condotta collocando la norma nel suo contesto. Da un lato, la direttiva NIS2 individua finalità e contenuti minimi degli obblighi di governance: capacità degli organi di gestione di comprendere il rischio cyber, di approvare misure di mitigazione, di vigilare sulla loro attuazione. Dall’altro lato, il decreto italiano è completato da una serie di atti dell’ACN – in particolare le specifiche di base adottate con determinazione del 14 aprile 2025 – che declinano gli obblighi in termini più concreti: piani di formazione formalizzati, registri delle attività formative, aggiornamento periodico, distinzione dei contenuti per ruoli, integrazione nel sistema di gestione del rischio.
La legalità qui non opera dunque tramite una prescrizione integrale ex lege, ma mediante un meccanismo a più livelli: la legge definisce l’architettura degli obblighi, un atto amministrativo generale di natura tecnica ne specifica la struttura minima, la valutazione di adeguatezza avviene alla luce degli standard di settore e delle prassi tecniche.
Resta tuttavia, a mio avviso, una zona d’ombra. Il destinatario dell’obbligo sa che deve “fare formazione”, sa che deve avere un piano, un registro, una periodicità, una coerenza con il rischio; ma non sa in modo puntuale dove si collochi la soglia tra adeguatezza e inadeguatezza. Non esiste un “pacchetto minimo” di moduli obbligatori, né una tipizzazione quantitativa (ore, frequenza, livelli) che possa fungere da safe harbour. L’adeguatezza gli verrà restituita ex post, dall’Autorità o dal giudice, e non è escluso che tali valutazioni possano differire tra settori, regioni o Autorità competenti, pur a parità di situazione fattuale.
Da questo punto di vista la norma può suscitare perplessità in termini di ragionevolezza. L’impresa o l’ente sono chiamati a investire in formazione e riorganizzazione sulla base di uno standard mobile, potenzialmente interpretabile “a posteriori” alla luce dell’incidente verificatosi. Si potrebbe sostenere che l’ordinamento chieda qualcosa che somiglia più a una forma di onniscienza organizzativa che a un obbligo determinato. Ed è qui che la tensione con l’art. 3 Cost. – e, in filigrana, con l’art. 23 Cost. – si manifesta: sottoporre l’operatore a sanzioni sulla base di parametri che vengono definiti in concreto solo dopo il fatto può apparire irragionevole.
La questione non è però priva di precedenti. In ambiti come la sicurezza sul lavoro, l’ambiente, la privacy, la responsabilità degli enti ex 231, l’ordinamento ha già accettato che la legalità si declini attraverso standard elastici, integrati da soft law, best practice e prassi applicative. La giurisprudenza tende a ritenere compatibile con la Costituzione tale tecnica normativa quando il nucleo essenziale dell’obbligo è chiaro e quando esistono strumenti, anche non legislativi, che consentano al destinatario di orientare le proprie scelte in modo ragionevolmente prevedibile.
In altri termini, il problema non è tanto l’uso di clausole generali, quanto il modo in cui esse vengono concretamente “riempite” dall’amministrazione e sindacate dal giudice. Ed è proprio su questo terreno che si gioca la tenuta dell’art. 23.
III. Il ruolo dell’ACN e i limiti della discrezionalità tecnica
L’Agenzia per la cybersicurezza nazionale è chiamata dal decreto NIS ad un ruolo che va ben oltre la mera vigilanza: ad essa è affidato il compito di adottare specifiche di base e linee guida che concretizzano i requisiti minimi di sicurezza, nonché di esercitare poteri ispettivi e sanzionatori.
Nel campo della formazione e della governance, le specifiche di base insistono su un aspetto in particolare: la necessità che la formazione non sia un adempimento episodico, ma un elemento strutturale del sistema di gestione del rischio. Da qui la richiesta di un piano formativo formalizzato, approvato dagli organi di amministrazione, documentato, aggiornato, distinto per ruoli e responsabilità, con registri delle sessioni svolte e, in alcuni casi, con forme di verifica dell’apprendimento.
Questi requisiti hanno una duplice funzione. Da un lato, oggettivano il contenuto dell’obbligo legale: l’ente sa che, per essere considerato conforme, non è sufficiente organizzare occasionali seminari motivazionali, ma è necessario adottare un piano strutturato, inserito nei processi e sostenuto da evidenze documentali. Dall’altro lato, delimitano la discrezionalità tecnica dell’ACN: la valutazione di adeguatezza non può essere sganciata da queste premesse, pena lo sconfinamento in un potere creativo ex post difficilmente conciliabile con i principi di legalità e ragionevolezza.
In prospettiva contenziosa, sarà decisivo l’atteggiamento del giudice amministrativo. Se il TAR, chiamato a sindacare un provvedimento sanzionatorio, si limiterà a un controllo meramente estrinseco della motivazione, la discrezionalità dell’ACN rimarrà molto ampia. Se, invece, pretenderà che l’Autorità espliciti gli standard applicati, i rischi specifici considerati, le ragioni per cui il piano dell’ente è stato ritenuto carente in relazione a tali standard, il margine di arbitrarietà si ridurrà sensibilmente.
Un altro elemento di riequilibrio potrà venire dall’evoluzione della soft law. È verosimile che, nel tempo, l’ACN, anche per tutelare la propria azione in giudizio, si doti di linee guida sempre più granulari, di documenti di buone pratiche, di schemi-tipo, magari differenziati per settore. Tali strumenti, pur non essendo fonti del diritto in senso proprio, svolgeranno una funzione di “parametro anticipato” per gli operatori, colmando quel deficit di prevedibilità che oggi si avverte in modo più netto.
In questo quadro, la discrezionalità tecnica è inevitabile, ma può e deve essere “domata” da tre fattori: la tipizzazione minima affidata alle specifiche di base, l’onere di motivazione dell’Autorità, il controllo giurisdizionale sulla ragionevolezza del giudizio di adeguatezza. È su questo triangolo che si gioca la compatibilità dell’art. 23 con il principio di legalità per come declinato nel settore delle sanzioni amministrative.
IV. Accountability estesa: dall’organizzazione interna alla supply chain
Se l’art. 23 si concentra sulle responsabilità dei vertici, l’art. 24 allarga la prospettiva alla gestione complessiva del rischio, includendo espressamente la supply chain.
L’impianto è chiaro: i soggetti essenziali e importanti devono adottare misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi che minacciano la sicurezza dei loro sistemi e dei servizi essenziali prestati. Tra gli elementi che tali misure devono comprendere, rientra a pieno titolo la sicurezza della catena di approvvigionamento, compresi gli aspetti relativi alla sicurezza dei rapporti con i fornitori diretti e i fornitori di servizi.
Il passo ulteriore è rappresentato dall’obbligo di tenere conto, nella scelta e nella gestione dei fornitori, delle loro vulnerabilità specifiche, della qualità delle loro pratiche di sicurezza, dei risultati delle valutazioni coordinate sui rischi di filiera effettuate a livello europeo. In altre parole, la supply chain non è più uno sfondo neutro dell’organizzazione: diventa parte integrante dell’oggetto dell’obbligo legale di gestione del rischio.
Da qui deriva quella che si può definire una forma di accountability estesa. Il soggetto essenziale o importante non risponde per il fatto del fornitore come tale, in termini di responsabilità oggettiva; ma risponde per il modo in cui ha selezionato, valutato, contrattualizzato e monitorato il fornitore alla luce degli obblighi NIS. Se un incidente grave trova la sua causa o il suo fattore abilitante in una vulnerabilità del fornitore che poteva essere conosciuta e gestita con la diligenza richiesta, l’inadempimento dell’ente non consisterà più solo in una generica negligenza, bensì nella violazione di un obbligo legale specifico di risk management della supply chain.
In termini civilistici, questo si traduce in una valorizzazione degli istituti già esistenti. La responsabilità contrattuale ex art. 1218 c.c. e quella per fatto dell’ausiliario ex art. 1228 c.c. trovano nel d.lgs. 138/2024 un parametro normativo ulteriore per individuare la colpa dell’ente. La violazione degli obblighi NIS diventa, per così dire, un “indice qualificato” della non diligente organizzazione dell’impresa, utilizzabile sia nel giudizio di responsabilità verso i destinatari dei servizi, sia nei rapporti interni con gli amministratori, sia in prospettiva di responsabilità amministrativa degli enti ex 231, ove ricorrano i presupposti.
La portata di questa accountability estesa è particolarmente evidente in alcuni settori: amministrazioni centrali che si affidano in modo massiccio a servizi cloud; strutture sanitarie che esternalizzano sistemi di cartella clinica elettronica, telemedicina, prenotazione e pagamento; gestori autostradali e concessionari di infrastrutture critiche che dipendono da fornitori ICT e OT per i sistemi di controllo e di esazione; multiutility che gestiscono acqua, energia, rifiuti, ambiente attraverso reti digitalizzate e sensori distribuiti. In tutti questi casi, la distinzione tra perimetro interno e perimetro esterno della responsabilità si fa porosa, e la supply chain diventa il terreno su cui la diligenza organizzativa deve essere dimostrata, non solo affermata.
V. Dalla norma al contratto: ripensare la contrattualistica del rischio cyber
Se si accetta questa lettura dell’art. 24 come fondamento di un dovere legale di gestione del rischio di filiera, il passaggio alla dimensione contrattuale è naturale. L’ente essenziale o importante non può assolvere i propri obblighi limitandosi a prescrizioni interne: deve “trascrivere” l’accountability estesa nei rapporti con la propria blockchain di fornitori e partner.
Questo implica, anzitutto, una mappatura seria e non meramente cartolare dei fornitori critici. Nella pratica, significa distinguere tra fornitori marginali e fornitori che, per il tipo di servizio reso, possono incidere in modo significativo sulla resilienza cyber dell’ente: infrastrutture di rete, cloud, data center, applicazioni core, piattaforme di pagamento, sistemi di controllo industriale, servizi di manutenzione evoluta, outsourcing di processi che trattano dati o attivano transazioni critiche. Solo successivamente a questa mappatura è possibile calibrare gli obblighi contrattuali in modo proporzionato, evitando di imporre standard eccessivi dove non servono e, soprattutto, di essere lassisti proprio dove il rischio è più elevato.
In secondo luogo, occorre trasferire nella fase di selezione dei fornitori i criteri di adeguatezza richiesti dal decreto. I bandi, le richieste di offerta, gli avvisi di gara – specie nel settore pubblico, dove interviene anche il d.lgs. 36/2023 – devono esplicitare requisiti di sicurezza minimi, parametri di qualificazione, eventuali certificazioni richieste, impegni in materia di formazione e awareness del personale del fornitore. Non si tratta solo di inserire qualche formula nel capitolato, ma di costruire un processo di procurement che consideri la postura cyber del fornitore alla stregua di un elemento essenziale dell’offerta, non di un accessorio tecnico.
Il terzo passaggio, quello più delicato sul piano giuridico, è la traduzione di tutto ciò in clausole contrattuali. In un rapporto di fornitura ICT o di outsourcing critico, il contratto dovrebbe, quantomeno, contemplare: obblighi espliciti di conformità alla normativa NIS e alle specifiche tecniche applicabili; impegni del fornitore a mantenere nel tempo tali livelli di sicurezza, con obbligo di aggiornamento; obblighi di notifica degli incidenti che possano impattare sui sistemi o sui servizi dell’ente; diritti di audit e di ispezione (anche remoto) in capo all’ente o a soggetti terzi da esso incaricati; meccanismi di cooperazione nella gestione degli incidenti e nel ripristino della continuità operativa; clausole di responsabilità, penali, service credit, fino a clausole risolutive espresse per gravi o reiterate violazioni degli obblighi di sicurezza.
In contesti particolarmente sensibili – si pensi a grandi appalti infrastrutturali, a partenariati pubblico-privati, a concessioni di servizi essenziali – questi elementi dovrebbero essere inseriti già a monte nella disciplina di gara e poi riprodotti nelle convenzioni, con attenzione a garantire la coerenza tra obblighi NIS, obblighi derivanti dal Codice dei contratti e modelli 231 eventualmente adottati.
Tutto ciò ha una ricaduta immediata sulla responsabilità degli organi di amministrazione richiamati dall’art. 23. Se il board è chiamato ad approvare il modello di gestione del rischio, non può disinteressarsi delle scelte contrattuali che, in concreto, determinano il livello di esposizione dell’ente. La contrattualistica del rischio cyber diventa parte integrante della governance, e l’assenza di una visione d’insieme su questi profili potrebbe essere letta, in futuro, come indice di violazione dei doveri di diligenza e di corretta amministrazione.
VI. Conclusioni: tra legalità per standard e agenda operativa per i soggetti NIS
Il quadro che emerge dall’analisi combinata degli artt. 23 e 24 d.lgs. 138/2024 è quello di una normativa che, da un lato, si fonda su clausole generali e standard elastici, dall’altro pretende di incidere in profondità sul modo in cui gli enti organizzano se stessi e la propria filiera di fornitori.
Sul piano teorico, ciò solleva interrogativi non banali. La scelta di affidare ad una clausola di “adeguatezza” la determinazione del contenuto di un obbligo formativo sanzionabile espone la norma a possibili censure sotto il profilo della ragionevolezza e della prevedibilità. La risposta, sul terreno costituzionale, dipenderà molto da come l’ACN, le Autorità competenti e la giurisprudenza sapranno costruire, nel tempo, una trama di parametri tecnici e di prassi applicative in grado di dare sostanza, e non solo retorica, allo standard di adeguatezza.
Sul piano operativo, però, il messaggio è già oggi sufficientemente chiaro per i soggetti essenziali e importanti. La conformità agli obblighi NIS non può essere affrontata come una mera checklist tecnica, né come un adempimento da delegare in toto al CISO o alla direzione ICT. È in gioco un ripensamento complessivo della governance e della contrattualistica: funzioni (non delegabili) e formazione dei vertici in ambito cyber, piani formativi strutturati, sistemi di gestione del rischio integrati con il procurement, clausole di sicurezza nei contratti, diritti di controllo sui fornitori, strategie di uscita e di continuità operativa.
Per amministrazioni centrali, strutture sanitarie, grandi utility, concessionari di infrastrutture, general contractor, l’agenda minima che discende da questo quadro comprende almeno tre direttrici: una messa a punto degli assetti di governance, per garantire che gli organi di vertice esercitino effettivamente le funzioni loro attribuite dall’art. 23; una revisione dei processi di selezione e gestione dei fornitori critici, alla luce degli obblighi di gestione del rischio di filiera posti dall’art. 24; una riscrittura progressiva della contrattualistica strategica, per allineare clausole, penali, diritti di audit e di recesso a questo nuovo orizzonte di responsabilità.
In questo senso, la NIS2 e il d.lgs. 138/2024 non introducono soltanto un set di nuovi adempimenti. Impongono, in sostanza, un diverso modo di pensare la relazione tra diritto, tecnologia e organizzazione: non più un rapporto di mera conformità formale, ma un intreccio in cui scelte giuridiche, scelte tecniche e scelte contrattuali devono essere coerenti, perché su quella coerenza si misurerà, in futuro, non solo il livello di sicurezza degli ecosistemi digitali, ma anche la responsabilità – giuridica e strategica – degli amministratori che li guidano.