La Direttiva NIS 2 ha lanciato un importante avvertimento alle società dell’Unione Europea: la responsabilità personale degli amministratori per mancanza di conformità è ora una questione critica che non può essere ignorata e gli amministratori responsabili vanno notificati entro la fine di maggio 2025.
Mancano pochi giorni alla scadenza di fine maggio 2025 quando le società che si sono registrate al portale dell’Agenzia per la Cybersicurezza Nazionale (ACN) dovranno fornire le informazioni ulteriori richieste ad ACN.
Tra queste informazioni, quelle di maggior rilievo riguardano la notifica degli amministratori che ai sensi delle disposizioni di implementazione della Direttiva NIS 2 in Italia sono soggetti ad un regime di responsabilità personale per le violazioni che attribuisce ai vertici aziendali una responsabilità senza precedenti nel garantire l’adozione di solide misure di sicurezza informatica. Si tratta di una peculiarittà prevista al momento unicamente dalla implementazione italiana della NIS 2 (sull’argomento può essere d’interesse l’articolo “La Direttiva NIS 2 è implementata in Italia: il decreto legislativo 138/2024“).
Comprendere la responsabilità personale degli amministratori ai sensi della Direttiva NIS 2
La responsabilità personale degli amministratori ai sensi della implementazione della Direttiva NIS 2 in Italia rappresenta un cambiamento importante nelle modalità di applicazione della conformità alla cybersecurity. L’attuazione italiana afferma che:
“L’Autorità nazionale competente NIS può disporre nei confronti delle persone fisiche di cui al comma 5 del presente articolo, ivi inclusi gli organi di amministrazione e gli organi direttivi di cui all’articolo 23 dei soggetti essenziali e dei soggetti importanti, nonché di quelle che svolgono funzioni dirigenziali a livello di amministratore delegato o rappresentante legale di un soggetto essenziale o importante, l’applicazione della sanzione amministrativa accessoria della incapacità a svolgere funzioni dirigenziali all’interno del medesimo soggetto. Tale sospensione temporanea è applicata finchè il soggetto interessato non adotta le misure necessarie a porre rimedio alle carenze o a conformarsi alle diffide di cui all’articolo 37, commi 6 e 7.”.
Punti chiave:
- Responsabilità diretta: I direttori e i dirigenti di alto livello sono personalmente responsabili dell’osservanza della direttiva NIS 2.
- Sanzioni amministrative: L’inosservanza può comportare sanzioni personali, tra cui l’incapacità temporanea di svolgere ruoli manageriali all’interno della stessa entità.
- Reintegrazione condizionata: La sospensione rimane fino a quando l’amministratore non intraprende azioni correttive per risolvere i problemi di conformità.
Implicazioni della responsabilità personale degli amministratori per mancanza di conformità
La disposizione della NIS 2 sulla responsabilità personale degli amministratori ha diverse implicazioni:
- Interruzione dell’operatività: L’incapacità di amministratori chiave può portare a sfide operative significative e a battute d’arresto strategiche.
- Danno alla reputazione: Le sanzioni personali contro gli amministratori possono danneggiare la reputazione sia individuale che aziendale, incidendo sulla fiducia degli stakeholder.
- Rischi legali e finanziari: Le società possono incorrere in un maggiore controllo legale e in sanzioni finanziarie a causa della non conformità degli amministratori.
Misure per evitare la responsabilità personale ai sensi della Direttiva NIS 2
Per ridurre il rischio di responsabilità personale per mancata conformità, gli amministratori devono:
- Dare priorità alla conformità come obbligo primario: Riconoscere che l’adesione alla Direttiva NIS 2 è un dovere critico che richiede attenzione immediata.
- Implementare solide misure di sicurezza informatica: Adottare misure tecniche e organizzative adeguate per gestire efficacemente i rischi di cybersecurity.
- Stabilire chiare strutture di governance: Definire ruoli e responsabilità per la cybersecurity all’interno della gerarchia manageriale per facilitare la responsabilità.
- Promuovere una cultura della cybersecurity: Promuovere la consapevolezza e la formazione a tutti i livelli organizzativi per integrare la cybersecurity nella cultura aziendale.
- Impegnarsi regolarmente con le autorità: Mantenere una comunicazione aperta con le autorità nazionali competenti per ottenere indicazioni sugli obblighi di conformità.
- Condurre verifiche e valutazioni periodiche: Rivedere periodicamente le politiche di cybersecurity per assicurarsi che siano conformi agli standard in evoluzione della Direttiva NIS 2.
Perché la conformità alla Direttiva NIS 2 è un obbligo fondamentale per le aziende
Data la potenziale responsabilità personale degli amministratori ai sensi della Direttiva NIS 2, le aziende devono considerare la conformità come un obbligo primario:
- Proteggere la leadership: Garantire la conformità salvaguarda gli amministratori da sanzioni personali, preservando la stabilità della leadership.
- Mantenere la continuità operativa: Evitare l’incapacità dei manager chiave previene le interruzioni operative.
- Migliorare la reputazione aziendale: Dimostrare l’impegno nella cybersecurity rafforza la fiducia degli stakeholder e il posizionamento sul mercato.
- Riduzione dei rischi legali e finanziari: La conformità riduce il rischio di multe, azioni legali e perdite finanziarie associate agli incidenti informatici.
Conclusioni
La disposizione NIS 2 sulla responsabilità personale degli amministratori eleva la cybersecurity da una questione tecnica a un aspetto fondamentale della governance aziendale. La responsabilità personale degli amministratori in caso di mancata conformità alla direttiva NIS 2 sottolinea l’importanza di misure proattive e di una diligente adesione ai requisiti normativi. Le aziende devono riconoscere la conformità a questa direttiva come un obbligo fondamentale, adottando misure immediate per migliorare la loro posizione di sicurezza informatica. Così facendo, proteggono i propri amministratori dalla responsabilità personale e contribuiscono a creare un ambiente digitale più sicuro e resiliente.
ACN ha comunicato che i soggetti NIS, che hanno richiesto supporto per la finalizzazione dell’aggiornamento annuale dei dati, potranno concludere la procedura entro il 31 luglio. Le altre aziende dovranno entro la fine di maggio 2025 comunicare i dati elencati QUI.
Potete vedere la registrazione di un video che abbiamo realizzato (in italiano) sugli obblighi derivanti dalla Direttiva NIS 2 QUI.
