NIS2, la cybersecurity entra nella governance: come cambia il ruolo dei CEO

Andrea Stecconi, CEO di Execus: con la NIS2 la gestione del rischio informatico entra nelle responsabilità strategiche dei vertici aziendali.

La sicurezza informatica entra stabilmente nelle sale dei consigli di amministrazione e diventa una responsabilità che non può più essere affidata soltanto ai reparti tecnici. Con la direttiva europea NIS2 e il suo recepimento nell’ordinamento italiano, amministratori e vertici aziendali sono chiamati a conoscere i rischi, approvare le misure di sicurezza e verificarne concretamente l’attuazione.

Pier Carlo Lava

A firma di Andrea Stecconi, CEO di Execus

Negli ultimi anni gli attacchi informatici sono aumentati sia per frequenza sia per impatto economico. Secondo il Rapporto Clusit 2026, il 2025 è stato l’anno peggiore registrato dall’inizio delle rilevazioni per la sicurezza informatica: a livello globale sono stati censiti 5.265 attacchi gravi, in aumento del 49% rispetto al 2024.

L’Italia continua a essere uno dei Paesi maggiormente colpiti: nel 2025 sono stati rilevati 507 incidenti gravi, contro i 357 dell’anno precedente, con una crescita del 42%. Il dato italiano rappresenta il 9,6% del totale mondiale. Il rapporto precisa che l’analisi riguarda attacchi noti, riusciti e caratterizzati da conseguenze rilevanti sul piano economico, tecnologico, legale o reputazionale: si tratta quindi soltanto di una parte degli incidenti realmente avvenuti. Circa un episodio su tre, nel campione mondiale analizzato, è classificato come “Critical” o “Extreme”.

Parallelamente, le imprese stanno aumentando gli investimenti in cybersecurity. Secondo l’Osservatorio Cybersecurity & Data Protection del Politecnico di Milano, il mercato italiano ha raggiunto nel 2025 un valore di 2,78 miliardi di euro, con un incremento del 12% rispetto all’anno precedente. La crescente sofisticazione degli attacchi dimostra, tuttavia, che la protezione tecnologica da sola non è più sufficiente.

È in questo contesto che si inserisce la direttiva europea NIS2, recepita in Italia con il Decreto legislativo 4 settembre 2024, numero 138, entrato in vigore il 16 ottobre 2024. La normativa si applica ai soggetti definiti “essenziali” e “importanti”, individuati sulla base del settore di attività, delle dimensioni e degli altri criteri previsti dal decreto.

La NIS2 non si limita a introdurre misure operative più stringenti, ma ridefinisce il modo in cui la cybersicurezza viene governata all’interno delle organizzazioni. Se fino a pochi anni fa era considerata una competenza quasi esclusiva dei reparti IT, oggi la direttiva impone che la gestione del rischio informatico sia supervisionata direttamente anche dagli organi di amministrazione.

I consigli di amministrazione devono conoscere i principali rischi informatici dell’organizzazione, approvare le politiche e le misure di sicurezza, vigilare sulla loro applicazione e ricevere una formazione specifica. La cybersecurity viene così collocata sullo stesso piano dei rischi finanziari, operativi e reputazionali.

Questo passaggio segna un autentico cambio di paradigma. La NIS2 non valuta soltanto la solidità delle infrastrutture digitali, ma richiede ai vertici aziendali di dimostrare una governance consapevole e documentabile del rischio cyber.

Per i CEO ciò comporta un’evoluzione del proprio ruolo. Non è più sufficiente comprendere genericamente il rischio digitale: occorre saperlo interpretare e integrare nelle scelte strategiche dell’organizzazione. Il CEO deve diventare il punto di raccordo tra il linguaggio tecnico del CISO, il responsabile della sicurezza informatica, e le decisioni che riguardano investimenti, processi, priorità e continuità operativa.

La cybersecurity assume così anche una dimensione reputazionale. Un attacco informatico non è più soltanto un problema operativo o tecnologico, ma può trasformarsi in una vera crisi di fiducia che coinvolge clienti, investitori, partner e istituzioni. La capacità di gestire un incidente, comunicarlo correttamente e dimostrare di avere adottato misure adeguate diventa parte integrante della credibilità dell’impresa.

Pur non essendo una normativa ESG, la NIS2 rafforza la componente della Governance, la “G” dell’acronimo ESG. La resilienza digitale diventa un elemento sempre più rilevante nella valutazione della gestione aziendale. La protezione dei dati, la continuità operativa e la capacità di prevenire o contenere gli incidenti informatici sono aspetti centrali nella tutela degli stakeholder e nella reputazione dell’impresa.

È anche per questa ragione che il legislatore ha previsto un sistema di vigilanza e sanzioni più rigoroso, volto a promuovere una gestione consapevole e dimostrabile del rischio cyber.

Il decreto prevede che gli organi di amministrazione approvino le modalità di attuazione delle misure di gestione dei rischi per la sicurezza informatica e vigilino sulla loro applicazione. Non è quindi più sufficiente delegare completamente la materia al responsabile IT o al CISO: gli amministratori devono poter dimostrare di avere esercitato un’effettiva attività di indirizzo e controllo.

La vigilanza è affidata all’Agenzia per la Cybersicurezza Nazionale, autorità competente NIS e punto di contatto unico in Italia. L’Agenzia può svolgere verifiche e ispezioni, richiedere informazioni e documentazione e applicare le sanzioni amministrative previste nei confronti delle organizzazioni che non rispettano gli obblighi.

Per i soggetti essenziali, le sanzioni possono raggiungere 10 milioni di euro o il 2% del fatturato mondiale annuo; per i soggetti importanti il limite è di 7 milioni di euro o dell’1,4% del fatturato mondiale annuo, secondo i criteri e le condizioni stabiliti dal decreto.

Uno dei temi più discussi riguarda la responsabilità penale. La NIS2 non introduce nuovi reati né stabilisce che ogni attacco informatico comporti automaticamente una responsabilità penale degli amministratori. Tuttavia, se un incidente dovesse evidenziare una gestione gravemente negligente degli obblighi di sicurezza e tale condotta rientrasse in fattispecie già previste dall’ordinamento, la mancata governance della cybersecurity potrebbe assumere rilievo anche sotto il profilo penale, qualora fossero presenti tutti gli elementi costitutivi di un reato esistente.

Al momento non risultano casi pubblicamente noti in Italia di amministratori sanzionati ai sensi del nuovo decreto. Il sistema di vigilanza è entrato progressivamente a regime e molte attività di controllo si trovano ancora nelle prime fasi di applicazione. L’obiettivo del legislatore è favorire un cambiamento culturale e spingere le imprese ad adottare una governance della sicurezza prima che si verifichino incidenti.

L’aspetto più innovativo della NIS2 è quindi l’inquadramento della cybersecurity come componente strategica della gestione aziendale. Così come la sostenibilità è entrata nelle logiche ESG, la resilienza digitale diventa parte integrante della governance. Non basta più investire in strumenti tecnologici: occorre costruire processi, attribuire responsabilità e sviluppare capacità decisionali adeguate ad affrontare il rischio informatico.

In uno scenario caratterizzato da attacchi sempre più frequenti e sofisticati, la cybersecurity esce dal perimetro dell’IT ed entra nelle sale dei consigli di amministrazione. Per un CEO questo significa intervenire da subito su alcuni fronti concreti: mappare il livello di esposizione al rischio cyber, portare regolarmente il tema all’attenzione del consiglio e non soltanto dopo un incidente, assicurare una formazione adeguata al board e costruire un canale diretto e continuativo con il CISO o con chi presidia la sicurezza informatica.

È su questi elementi, prima ancora che sulla tecnologia, che si misura oggi la capacità di un’impresa di governare il rischio digitale, proteggere la continuità operativa e rafforzare la fiducia di clienti, investitori e stakeholder. La NIS2 rende esplicito un principio ormai inevitabile: la cybersecurity non è più soltanto una questione tecnica, ma una responsabilità di governo dell’impresa.

GEO: Italia, Unione Europea

Fonte: contributo di Andrea Stecconi, CEO di Execus; dati del Rapporto Clusit 2026, dell’Osservatorio Cybersecurity & Data Protection del Politecnico di Milano e del Decreto legislativo 138/2024.

Approfondimenti e altre notizie su Alessandria Post e ItalianNewsPost.

Descrizione: Ritratto professionale di Andrea Stecconi, autore dell’approfondimento dedicato alla direttiva NIS2, alla resilienza digitale e al nuovo ruolo dei CEO nella gestione della sicurezza informatica

Crediti immagine: Execus; fotografia ricevuta con il comunicato stampa. Autore dello scatto non indicato.

Nota sull’intelligenza artificiale: articolo elaborato con il supporto dell’intelligenza artificiale sulla base del comunicato ricevuto, verificato attraverso fonti istituzionali e sottoposto a revisione editoriale.