Con l'aggiornamento pubblicato il 14 luglio 2026, l'Agenzia per la Cybersicurezza Nazionale (ACN) ha integrato le FAQ dedicate agli obblighi degli organi di amministrazione e direttivi dei soggetti rientranti nell'ambito di applicazione della disciplina NIS 2. L'intervento - che integra le FAQ ODA.8 e ODA.9 già esistenti e introduce le nuove FAQ ODA.10, ODA.11 e ODA.12 - scioglie dei dubbi su alcuni nodi interpretativi che, nella prassi applicativa, avevano generato incertezza sia nelle imprese sia nelle pubbliche amministrazioni soggette al D.lgs. 4 settembre 2024, n. 138.
Il punto di partenza è l'art. 23 del D.lgs. 138/2024, con cui il legislatore nazionale ha dato attuazione alla Direttiva UE 2022/2555 (NIS 2). La norma pone in capo agli organi di amministrazione e direttivi dei soggetti essenziali e importanti una serie di obblighi diretti e personali: approvazione delle misure di gestione del rischio cyber, supervisione della loro attuazione, formazione adeguata in materia di sicurezza informatica e responsabilità personale in caso di violazione. Come noto, la norma non chiarisce espressamente il confine tra ciò che deve essere approvato dall'organo collegiale o monocratico e ciò che può invece essere gestito dalle strutture tecniche interne. Le FAQ in commento colmano questo vuoto.
Le FAQ ODA.8 e ODA.9 confermano che “l'approvazione dei documenti previsti dall'articolo 23 del decreto NIS costituisce una competenza esclusiva dell'organo collegiale o, ove previsto, dell'organo monocratico e non può essere delegata”, mentre “rimane invece delegabile lo svolgimento delle attività necessarie all'attuazione operativa degli obblighi previsti dalla normativa.” La distinzione non era estranea al testo del decreto - vi era già implicita - ma la sua esplicitazione nelle FAQ elimina il margine interpretativo che aveva consentito ad alcune organizzazioni di strutturare deleghe eccedenti i limiti consentiti.
Il contributo di maggiore impatto pratico è quello della nuova FAQ ODA.10. I documenti da sottoporre all'approvazione dell'organo di amministrazione “devono declinare le misure di sicurezza almeno a livello di indirizzo e pianificazione strategica”, mentre la documentazione di natura tecnica e operativa - procedure, istruzioni operative, manuali - può essere “predisposta e aggiornata dalle strutture competenti senza necessità di approvazione da parte degli organi di governo.” Prima di questo chiarimento, un'interpretazione estensiva dell'art. 23 rischiava di attrarre nell'orbita di competenza dell'organo di amministrazione atti di natura meramente esecutiva, con effetti distorsivi sui processi decisionali del tutto sproporzionati rispetto alla ratio della norma.
Le FAQ ODA.11 e ODA.12 riconoscono ai soggetti NIS ampia libertà nella formazione del proprio impianto documentale.
I soggetti NIS, di fatti, possono organizzare la propria documentazione secondo le modalità ritenute più idonee alla propria struttura organizzativa: in un unico atto ovvero in un insieme coordinato di documenti distinti. L'aggiornamento dei presidi tecnici e organizzativi richiamati nella documentazione strategica, inoltre, non determina la necessità di una nuova approvazione formale di quest'ultima da parte dell'organo di vertice.
Su questo punto merita una sottolineatura il dibattito interpretativo più recente: la flessibilità riconosciuta dalle FAQ ODA.11 e ODA.12 non si traduce in informalità documentale. La libertà organizzativa presuppone pur sempre un sistema documentale governato, in cui le modifiche siano tracciate e le responsabilità chiaramente riconoscibili. ACN semplifica i processi, non il livello di rigore sostanziale richiesto.
Il quadro che ne risulta è un sistema articolato su due livelli distinti. A livello strategico - competenza esclusiva e non delegabile dell'organo di amministrazione - si collocano gli indirizzi e la pianificazione delle misure di sicurezza ex art. 23. A livello operativo - delegabile alle strutture interne - si collocano procedure, manuali, istruzioni tecniche e i loro aggiornamenti successivi. Gli organi di amministrazione acquisiscono così una perimetrazione chiara del proprio ruolo istituzionale, senza essere coinvolti nell'approvazione di ogni singolo documento tecnico-operativo. I CISO e i responsabili IT recuperano autonomia gestionale senza dover attendere ogni volta una delibera formale. Per le pubbliche amministrazioni soggette alla disciplina NIS, il medesimo principio consente di tenere distinto il momento dell'indirizzo politico-amministrativo da quello della gestione tecnica, evitando sovrapposizioni e ridondanze procedurali.
L'aggiornamento del 14 luglio 2026 non è un intervento di mero dettaglio. Per i soggetti essenziali e importanti che stanno strutturando la propria conformità al D.lgs. 138/2024, i chiarimenti di ACN offrono una mappa operativa su cui fare affidamento — e che converrebbe recepire prima che le attività di vigilanza entrino nel vivo.
Avv. Umberto Mottola e Avv. Rossella Bucca
