NIS2, la cybersecurity entra nella governance: come cambia il ruolo dei CEO

A firma di Andrea Stecconi, CEO di Execus

Negli ultimi anni gli attacchi informatici sono aumentati sia per frequenza sia per impatto economico. Secondo il Rapporto Clusit 2026, il 2025 è stato l’anno peggiore di sempre per la sicurezza informatica. A livello globale sono stati registrati 5.265 attacchi gravi, in aumento del 49% rispetto al 2024. L’Italia continua a essere uno dei Paesi più colpiti: 507 attacchi gravi, +42% sull’anno precedente, pari al 9,6% del totale mondiale. Circa un incidente su tre è classificato come Critical o Extreme, con impatti significativi su continuità operativa, reputazione e costi di ripristino. Parallelamente, le imprese stanno aumentando gli investimenti in cybersecurity, con un mercato italiano che ha raggiunto nel 2025 un valore di 2,78 miliardi di euro, il 12% in più rispetto all’anno precedente^[1]. La crescente sofisticazione degli attacchi dimostra però che la protezione tecnologica, da sola, non è più sufficiente.

È in questo contesto che si inserisce la direttiva europea NIS2, recepita in Italia con il D.Lgs. 138/2024. La normativa si applica ai soggetti definiti “essenziali” e “importanti”, individuati in base al settore di attività e alla dimensione dell’organizzazione, e non si limita a introdurre misure operative più stringenti: ridefinisce il modo in cui la cybersicurezza viene governata all’interno delle organizzazioni. Se fino a pochi anni fa era considerata una competenza esclusiva dei reparti IT, oggi la direttiva impone che la gestione del rischio cyber sia supervisionata direttamente anche dagli organi di amministrazione. I consigli di amministrazione devono conoscere i principali rischi informatici dell’organizzazione, approvare le politiche di sicurezza, verificare l’adozione di misure adeguate e ricevere una formazione specifica. La cybersecurity viene così equiparata ai rischi finanziari, operativi e reputazionali.

Questo passaggio segna un cambio di paradigma. La NIS2 non valuta soltanto la solidità delle infrastrutture digitali: richiede ai vertici aziendali di dimostrare una governance consapevole del rischio cyber. Per i CEO, questo implica un’evoluzione del proprio ruolo. Non basta più comprendere il rischio digitale: occorre saperlo interpretare e integrare nelle scelte strategiche dell’organizzazione. In altre parole, il CEO deve diventare il punto di raccordo tra il linguaggio tecnico del CISO e le decisioni che riguardano investimenti, processi, priorità e continuità operativa. La cybersecurity assume così anche una dimensione reputazionale: un attacco informatico non è più soltanto un problema operativo o tecnologico, ma una vera e propria crisi di fiducia che coinvolge clienti, investitori, partner e istituzioni. La capacità di gestire un incidente, di comunicarlo e di dimostrare di aver adottato misure adeguate diventa parte integrante della credibilità dell’impresa.

Pur non essendo una normativa ESG, la NIS2 rafforza la dimensione della Governance (la “G”): rende la resilienza digitale un elemento sempre più rilevante nella valutazione della gestione aziendale. La protezione dei dati, la continuità operativa e la capacità di prevenire o contenere gli incidenti informatici sono aspetti sempre più centrali nella tutela degli stakeholder e nella reputazione dell’impresa. È anche per questo che il legislatore ha previsto un sistema di vigilanza e sanzioni più rigoroso, volto a promuovere una gestione consapevole e documentabile del rischio cyber.

Il decreto prevede infatti che gli organi di gestione approvino le misure di sicurezza e vigilino sulla loro attuazione. Non è più sufficiente delegare completamente la materia al responsabile IT o al CISO: gli amministratori devono poter dimostrare di aver esercitato un’effettiva attività di indirizzo e controllo. La vigilanza è affidata all’Agenzia per la Cybersicurezza Nazionale, che può effettuare ispezioni, richiedere documentazione e applicare sanzioni amministrative nei confronti delle organizzazioni che non rispettano gli obblighi previsti. Per i soggetti essenziali, le sanzioni possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo; per i soggetti importanti il tetto è di 7 milioni di euro o dell’1,4% del fatturato mondiale annuo.

Uno dei temi più discussi riguarda la responsabilità penale. La NIS2 non introduce nuovi reati né stabilisce che ogni cyberattacco comporti automaticamente una responsabilità penale degli amministratori. Tuttavia, se un incidente informatico dovesse mettere in luce una gestione gravemente negligente degli obblighi di sicurezza, e tale condotta rientrasse in fattispecie già previste dall’ordinamento penale, la mancata governance della cybersecurity potrebbe rilevare anche sotto quel profilo, qualora ricorrano gli elementi costitutivi di reati già esistenti. Ad oggi non risultano casi pubblici in Italia di amministratori sanzionati ai sensi del nuovo decreto: il sistema di vigilanza è entrato progressivamente a regime e molte attività ispettive sono ancora nelle prime fasi di applicazione. L’obiettivo del legislatore è favorire un cambiamento culturale, spingendo le imprese ad adottare una governance della sicurezza prima che si verifichino incidenti.

L’aspetto più innovativo della NIS2 è quindi l’inquadramento della cybersecurity come elemento strategico della gestione aziendale. Così come la sostenibilità è entrata nelle logiche ESG, la resilienza digitale diventa parte integrante della governance. Non basta più investire in strumenti tecnologici: occorre costruire processi, responsabilità e capacità decisionali adeguate ad affrontare il rischio informatico.

In un contesto in cui gli attacchi sono sempre più frequenti e sofisticati, la cybersecurity esce dal perimetro dell’IT ed entra nelle sale dei consigli di amministrazione. Per un CEO, questo significa muoversi da subito su alcuni fronti concreti: mappare il livello di esposizione al rischio cyber della propria organizzazione, portare il tema in consiglio con una cadenza regolare e non solo in occasione di un incidente, assicurarsi che il board riceva una formazione adeguata e costruire un canale diretto e continuo con il CISO o con chi presidia la sicurezza informatica. È su questi elementi, prima ancora che sulla tecnologia, che si misura oggi la capacità di un’impresa di governare il rischio digitale, proteggere la continuità operativa e rafforzare la fiducia di clienti, investitori e stakeholder.