La sicurezza informatica non è più solo un tema tecnico delegabile all'IT. NIS2, GDPR, codice civile e responsabilità degli enti la collocano tra i doveri di chi amministra.
Per molto tempo la sicurezza informatica è stata considerata una questione tecnica, da affidare all'ufficio IT o a un fornitore. Oggi non è più così. Diverse norme collocano la gestione del rischio informatico tra le responsabilità dirette di chi amministra un'azienda o guida un ente, con conseguenze anche personali.
Il decreto legislativo 138/2024, che recepisce la direttiva NIS2, prevede che gli organi di amministrazione e direttivi dei soggetti coinvolti:
In caso di violazioni, oltre alle sanzioni pecuniarie per l'organizzazione, il decreto prevede misure che possono colpire le persone al vertice, fino all'incapacità temporanea di svolgere funzioni dirigenziali nello stesso soggetto.
Per il GDPR, il titolare del trattamento, cioè l'organizzazione, deve adottare misure tecniche e organizzative adeguate e poter dimostrare di averlo fatto. Chi guida l'organizzazione è chiamato a definire le scelte di fondo: risorse, responsabilità, priorità. Le sanzioni del Garante colpiscono l'organizzazione, ma le carenze di governo emergono spesso proprio nelle decisioni non prese.
Per le imprese, l'articolo 2086 del codice civile impone all'imprenditore che opera in forma societaria o collettiva di istituire un assetto organizzativo, amministrativo e contabile adeguato alla natura e alle dimensioni dell'impresa. In un'economia in cui un attacco informatico può fermare la produzione per settimane, la gestione del rischio cyber è ormai parte di questo assetto. Amministratori e organi di controllo possono essere chiamati a rispondere di carenze evidenti.
Il decreto legislativo 231/2001 sulla responsabilità amministrativa degli enti comprende, tra i reati presupposto, diversi reati informatici. Un modello organizzativo che non considera adeguatamente questi rischi può esporre l'ente a sanzioni. La legge 90/2024 ha inoltre inasprito le pene per molti reati informatici.
Per gli enti pubblici le responsabilità si intrecciano con quelle dirigenziali e disciplinari. La legge 90/2024, per le amministrazioni a cui si applica, prevede l'istituzione di una struttura e di un referente per la cybersicurezza e collega la mancata segnalazione degli incidenti anche a responsabilità per i dirigenti.
Governare la sicurezza non significa diventare tecnici, ma fare scelte informate e lasciarne traccia:
Chi amministra non deve sapere configurare un server, ma deve sapere quali rischi corre l'organizzazione e cosa si sta facendo per ridurli. Le norme chiedono di dimostrarlo: delibere, report e formazione documentata sono la migliore tutela per l'organizzazione e per chi la guida.
Le misure di sicurezza di base devono essere operative e dimostrabili, e l'Agenzia per la Cybersicurezza Nazionale può passare alle verifiche. Cosa significa per chi guida un'organizzazione.
Milioni di euro o percentuali del fatturato mondiale, misure personali per i vertici, ordini delle autorità. Una panoramica delle sanzioni previste e dei costi, spesso maggiori, che si aggiungono.
La direttiva europea sulla sicurezza delle reti riguarda migliaia di aziende ed enti italiani. Una guida essenziale per capire se la tua organizzazione è dentro e cosa deve fare.