TL;DR — Il 14 luglio 2026 l’ACN ha aggiornato le FAQ sulla governance NIS2 (ODA.8-ODA.12): il CdA deve approvare solo l’indirizzo strategico e la pianificazione delle misure di cybersicurezza, non i documenti tecnico-operativi, che restano delegabili alle funzioni competenti. Non è uno sconto di responsabilità: la firma sui documenti strategici resta non delegabile, e la prima scadenza pesante per i soggetti NIS è il 31 ottobre 2026.
Qualche mese fa un cliente, amministratore delegato di una media impresa manifatturiera rientrata nel perimetro NIS2 come soggetto importante, mi ha chiesto di rivedere la bozza di “policy di cybersicurezza” che il suo IT manager gli aveva messo sul tavolo per la firma: sessantadue pagine, comprensive di configurazioni firewall e istruzioni per il cambio password. Gli ho chiesto se davvero pensasse di dover approvare, personalmente, ogni singola procedura tecnica dell’azienda. Non lo sapeva, e onestamente nemmeno il suo IT manager ne era certo: la norma primaria dice che il vertice “approva le misure”, ma non specifica il livello di dettaglio. Le nuove FAQ che l’ACN ha pubblicato il 14 luglio 2026 rispondono esattamente a questa domanda, e vale la pena capirle bene prima che il tema arrivi anche sul vostro tavolo.
Che cos’è la NIS2 e perché la governance del vertice è diventata un problema concreto
La Direttiva (UE) 2022/2555 (NIS2) è stata recepita in Italia con il Decreto Legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024, ed estende gli obblighi di cybersicurezza a diciotto settori — undici altamente critici e sette critici — coinvolgendo oltre ottantamila organizzazioni pubbliche e private classificate come soggetti “essenziali” o “importanti” (ICT Security Magazine, 2026). L’articolo 23 del decreto, che recepisce l’articolo 20 della direttiva, assegna espressamente agli organi di amministrazione e direttivi il compito di approvare le misure di gestione del rischio di cybersicurezza e di vigilare sulla loro attuazione: un obbligo personale, non delegabile a un dirigente o a un fornitore esterno.
Il problema pratico è che la norma non dice quanto debba essere dettagliato ciò che il CdA approva. Nel corso del 2025 e della prima metà del 2026, mentre le aziende della prima ondata si avvicinavano alle scadenze operative (notifica incidenti da metà gennaio 2026, misure di sicurezza di base entro il 31 ottobre 2026), questa incertezza ha prodotto due estremi ugualmente sbagliati: consigli di amministrazione che firmano tutto senza leggerlo, e consigli di amministrazione paralizzati dalla richiesta di approvare manuali tecnici che non hanno gli strumenti per valutare. Le FAQ ACN del 14 luglio 2026 nascono per chiudere questa forbice.
Cosa hanno cambiato davvero le nuove FAQ ACN ODA.8-ODA.12?
Le FAQ aggiornano ODA.8 e ODA.9 e introducono tre nuovi quesiti, ODA.10, ODA.11 e ODA.12, tutti dedicati agli obblighi degli organi di amministrazione e direttivi dei soggetti NIS (ACN, 2026). Confermano innanzitutto un punto che non cambia: l’approvazione dei documenti previsti dall’articolo 23 resta una competenza esclusiva e non delegabile dell’organo collegiale o monocratico. Ciò che viene chiarito è il perimetro di cosa debba essere approvato dal vertice e cosa possa restare in capo alle strutture tecniche senza tornare in consiglio ogni volta.
Come sottolinea l’avvocato Stefano Mele, Partner di Gianni&Origoni e responsabile del Dipartimento Cybersecurity & Space Economy Law, commentando l’aggiornamento su Altalex, “la semplificazione riguarda i processi, non il livello di responsabilità richiesto dal decreto NIS” (Mele, Altalex, 20 luglio 2026). Il chiarimento, spiega Mele, “delinea un modello di governance nel quale la responsabilità strategica resta ancorata saldamente al vertice […], senza alcuna de-responsabilizzazione degli organi competenti”. Non è quindi una scorciatoia burocratica: è una mappa più precisa di dove passa il confine tra indirizzo e attuazione.
Quali documenti deve approvare il CdA e quali restano alla struttura operativa?
Il CdA approva solo i documenti che definiscono indirizzi, obiettivi e pianificazione strategica delle misure di sicurezza; la documentazione tecnica — procedure, istruzioni operative, manuali — può essere predisposta e aggiornata dalle funzioni competenti senza tornare all’approvazione del vertice. Lo chiarisce nello specifico la FAQ ODA.10 (ACN, 2026; CyberSecItalia, 2026).
| Livello | Cosa contiene | Chi approva |
|---|---|---|
| Strategico (art. 23 decreto NIS) | Politiche, obiettivi, indirizzi, criteri di governo del rischio cyber, pianificazione delle misure | Organo di amministrazione/direttivo — indelegabile |
| Tecnico-operativo | Procedure, istruzioni operative, manuali, linee guida interne | Funzioni tecniche competenti — nessuna nuova approvazione del vertice richiesta |
| Aggiornamenti tecnici richiamati nella strategia | Revisioni di procedure/manuali citati nel documento strategico | Non comportano necessità di ri-approvazione del documento strategico (FAQ ODA.12) |
Nella mia esperienza, questa distinzione è esattamente il punto dove la maggior parte delle PMI italiane sbaglia oggi: o costruiscono un unico super-documento tecnico-strategico che nessun consigliere non IT può realisticamente valutare, oppure lasciano che sia l’IT manager a “decidere e basta”, senza alcuna approvazione formale a monte. Entrambi gli approcci espongono l’azienda: il primo a un CdA che firma senza reale consapevolezza (nullo ai fini dell’accountability), il secondo a una violazione diretta dell’art. 23.
Come si organizza in pratica l’impianto documentale dopo le FAQ ODA.11 e ODA.12?
Il soggetto NIS può organizzare la documentazione come preferisce, in un unico documento oppure in un insieme di documenti coordinati tra loro, purché resti chiara la separazione tra ciò che il CdA approva e ciò che le funzioni tecniche gestiscono autonomamente (ACN, 2026; isimply.it/NIS2Hub, 2026). Le FAQ ODA.11 e ODA.12 confermano inoltre che l’aggiornamento dei documenti tecnici richiamati nella documentazione strategica non fa scattare automaticamente l’obbligo di una nuova approvazione del documento di vertice, a patto che l’aggiornamento non modifichi l’indirizzo strategico sottostante.
In pratica, per un soggetto NIS di medie dimensioni, questo si traduce in una struttura a due livelli: un documento (o un piccolo set di documenti) di “policy di cybersicurezza” approvato dal CdA, che fissa obiettivi, ruoli, responsabilità e criteri generali di gestione del rischio; e un corpo di procedure operative — gestione delle patch, risposta agli incidenti, controllo accessi — che l’IT manager o il CISO possono aggiornare con la frequenza richiesta dalla minaccia reale, senza attendere il prossimo consiglio di amministrazione.
Perché la scadenza del 31 ottobre 2026 rende urgente sistemare la governance adesso?
Il 31 ottobre 2026 è il termine ultimo, fissato dalla Determinazione ACN n. 379907/2025, entro cui la prima ondata di soggetti NIS deve avere adottato le misure di sicurezza di base — trentasette misure per i soggetti importanti, quarantatré per gli essenziali (ICT Security Magazine, 2026). Oltre questa data l’ACN può avviare l’attività ispettiva. Le misure tecniche da sole non bastano se manca a monte un’approvazione formale e documentata da parte del vertice: è proprio la prima cosa che un ispettore verifica, perché dimostra che l’organizzazione ha una governance reale della cybersicurezza, non solo strumenti tecnici installati.
Le nuove FAQ arrivano quindi in un momento preciso: a poco più di tre mesi dalla scadenza, danno alle aziende un criterio operativo per chiudere in fretta un impianto documentale che regga a un controllo, senza bloccare tutto in attesa che il CdA “capisca” ogni dettaglio tecnico. Chi non ha ancora messo nero su bianco un documento strategico approvato dal vertice ha una finestra stretta ma ancora gestibile per farlo bene.
Implicazioni pratiche per le PMI italiane
Per una PMI italiana rientrata nel perimetro NIS2 — o per chi la fornisce come partner IT — il messaggio operativo è concreto: separare da subito, formalmente, il documento strategico da approvare in CdA dai documenti tecnici che possono restare in gestione IT. Tre azioni concrete entro fine estate: primo, verificare se esiste già un documento strategico ex art. 23 approvato formalmente dal vertice, non solo una policy IT scritta dai tecnici e mai passata in consiglio. Secondo, se il documento esiste ma è troppo tecnico, scorporare la parte operativa senza modificarne l’indirizzo strategico, evitando così una nuova approvazione non necessaria. Terzo, mettere a verbale la distinzione tra ciò che il CdA ha approvato e ciò che resta delegato, così da avere traccia difendibile in caso di ispezione ACN dopo il 31 ottobre 2026.
Per i fornitori di servizi IT e i partner tecnologici (compresi MSP e MSSP, esplicitamente citati tra i soggetti NIS dal Regolamento di esecuzione UE 2024/2690), questa chiarezza è anche un’opportunità commerciale: aiutare i clienti a costruire questo doppio livello documentale è un servizio a valore aggiunto ben più difendibile di una generica “consulenza NIS2”.
FAQ
Il CdA deve leggere e approvare ogni procedura tecnica di cybersicurezza dell’azienda?
No. Secondo la FAQ ODA.10 dell’ACN, il CdA approva solo i documenti di indirizzo e pianificazione strategica delle misure di sicurezza. Procedure, istruzioni operative e manuali tecnici possono essere predisposti e aggiornati dalle funzioni competenti senza necessità di approvazione del vertice.
Cosa rischia un’azienda che non ha un documento strategico NIS2 approvato dal CdA?
Rischia una violazione diretta dell’art. 23 del D.Lgs. 138/2024, che assegna espressamente agli organi di amministrazione l’approvazione delle misure di gestione del rischio. In caso di ispezione ACN dopo il 31 ottobre 2026, l’assenza di un’approvazione formale e documentata pesa quanto una lacuna tecnica.
Le nuove FAQ ACN riducono davvero la responsabilità del CdA sulla NIS2?
No. Come chiarisce l’avvocato Stefano Mele su Altalex, la semplificazione riguarda i processi documentali, non il livello di responsabilità richiesto dal decreto NIS: la responsabilità strategica del vertice resta piena e non delegabile, cambia solo cosa serve materialmente far firmare in consiglio.
Cosa succede se aggiorno una procedura tecnica richiamata nel documento strategico approvato dal CdA?
Secondo la FAQ ODA.12, l’aggiornamento dei documenti tecnici e organizzativi richiamati nella documentazione strategica non comporta di per sé la necessità di una nuova approvazione di quest’ultima, purché non ne modifichi l’indirizzo strategico sottostante.
Conclusioni
Le FAQ ACN del 14 luglio 2026 non cambiano una virgola della responsabilità che l’art. 23 del D.Lgs. 138/2024 assegna agli organi di vertice: cambiano, e in meglio, il modo in cui quella responsabilità si traduce in documenti concreti da approvare. Nella mia esperienza di trent’anni tra reti, sistemi e ora governance della cybersicurezza, il rischio più diffuso non è mai stato “il CdA non capisce l’IT”: è il documento scritto male, che mescola strategia e dettaglio tecnico rendendo impossibile sia l’approvazione consapevole sia l’aggiornamento agile. A poco più di tre mesi dal 31 ottobre 2026, separare i due livelli — indirizzo strategico approvato dal vertice, attuazione tecnica delegata — non è un esercizio formale: è la differenza tra un’ispezione ACN superata e una contestazione facile da muovere.
Riferimenti
Fonti verificate al 22 luglio 2026.
- [B] Agenzia per la Cybersicurezza Nazionale (2026, 14 luglio). Aggiornate le FAQ ACN sugli obblighi degli organi di amministrazione e direttivi dei soggetti NIS. acn.gov.it.
- [B] Mele, S. (2026, 20 luglio). NIS 2 e responsabilità degli organi di vertice: le nuove FAQ di ACN. Altalex.
- [B] Redazione (2026, 14 luglio). NIS 2, ACN semplifica gli obblighi per organi di amministrazione e direttivi. CyberSecItalia.it.
- [B] NIS2Hub (2026, 14 luglio). NIS2 e responsabilità del vertice: quali documenti devono essere approvati. isimply.it.
- [B] Redazione (2026, 8 aprile). NIS2: la mappa completa degli adempimenti da qui a ottobre 2026. ICT Security Magazine.
- [C] Borio, L. / Argos New Dreams. Azure Backup Enhanced Policy: la resilienza cloud che anticipa i ransomware (fonte autobiografica, continuità sul tema resilienza/cybersecurity).
- [C] Borio, L. / Argos New Dreams (2026, 31 gennaio). AI Act e governance: chi controlla chi? (fonte autobiografica, continuità sul tema governance normativa).
Contenuto a scopo divulgativo, generato con l’assistenza di AI. Richiede revisione umana prima della pubblicazione. Contatto: luca@borio.me.
Rispondi