Le sanzioni NIS2 e la responsabilità personale di chi amministra
I massimali sanzionatori fanno notizia. La parte che dovrebbe preoccupare di più un consiglio è un’altra.
La NIS2 fissa massimali sanzionatori pensati per essere dissuasivi anche per i grandi gruppi: fino a 10 milioni di euro o il 2% del fatturato globale annuo per i soggetti essenziali, se superiore; fino a 7 milioni o l’1,4% per i soggetti importanti. In Italia, il D.Lgs. 138/2024 richiama questi stessi massimali europei e affianca un proprio quadro sanzionatorio nazionale per le violazioni procedurali, con importi che vanno da 5.000 a 5 milioni di euro.
Il numero fa notizia, ma non è la parte che dovrebbe cambiare il comportamento di un consiglio. La direttiva prevede che gli organi di gestione possano essere ritenuti personalmente responsabili per la mancata supervisione delle misure di gestione del rischio — e il decreto italiano prevede, in caso di inadempienze gravi e persistenti sugli obblighi di governance, la possibilità di sospensione temporanea dall’incarico per chi dirige l’azienda.
Cosa significa, in pratica, "supervisione"
Non significa che ogni amministratore debba diventare un esperto tecnico. Significa che il consiglio deve poter dimostrare di aver approvato le misure di gestione del rischio, di averne seguito l’attuazione con una cadenza definita, e di aver ricevuto una formazione adeguata — la stessa che la direttiva richiede esplicitamente per i membri degli organi di gestione. Un consiglio che riceve un report tecnico illeggibile una volta l’anno, senza discuterlo, non sta supervisionando: sta archiviando.
Cosa mettere agli atti prima che serva
La differenza tra un consiglio che risponde e uno che è esposto sta spesso nei verbali: le decisioni sul rischio cyber sono state discusse e motivate, o soltanto ratificate senza dibattito? È stato registrato chi ha sollevato quale obiezione? È stata seguita una roadmap con scadenze verificabili? Questi elementi non prevengono un incidente, ma sono ciò che distingue una supervisione documentata da una negligenza presunta, quando arriva la richiesta di conto.
In sintesi
Il massimale sanzionatorio è un problema dell’azienda. La responsabilità personale è un problema di chi siede in consiglio. Trattarli come lo stesso rischio porta a preoccuparsi del numero sbagliato.
