Formazione NIS2 degli amministratori: piano, delibera e registro
Il piano annuale per i vertici in sette moduli, l'estratto del verbale che lo approva, il registro delle presenze e un test con le soluzioni.
Riferimenti: Art. 23 del d.lgs. 138/2024 · misura PR.AT-01 della determinazione ACN 379907/2025
- Piano annuale in sette moduli, con obiettivi e calendario
- Estratto del verbale con la delibera di approvazione
- Registro delle presenze e delle verifiche
- Test di 10 domande con le soluzioni e le fonti
Aggiornato il 13 novembre 2026 sulle determinazioni dell'ACN in vigore · a cura dell'Ing. Alessio Sanavio.
Cosa c'è nel modello
Tutto quello che serve per organizzare, approvare e dimostrare la formazione sulla sicurezza informatica degli organi di amministrazione e direttivi: consiglio di amministrazione, amministratore unico o delegato, direzione generale. Il file Word ha quattro parti:
- il piano annuale, con destinatari, obiettivi, sette moduli, modalità e verifica dell'apprendimento;
- l'estratto del verbale con la delibera che approva il piano;
- il registro delle presenze e delle verifiche;
- un test di dieci domande con le soluzioni e la fonte di ogni risposta.
Quale norma la chiede
L'articolo 23 del d.lgs. 138/2024 dice che gli organi di amministrazione e direttivi dei soggetti essenziali e importanti approvano le modalità di attuazione delle misure di sicurezza, ne sovrintendono l'attuazione e sono responsabili delle violazioni (comma 1). Sono tenuti a seguire una formazione in materia di sicurezza informatica e promuovono una formazione periodica dei dipendenti (comma 2), e devono essere informati degli incidenti e delle notifiche (comma 3).
La misura PR.AT-01 della determinazione ACN 379907/2025 chiede un piano di formazione scritto per tutto il personale, vertici compresi, con i contenuti e le eventuali modalità di verifica, approvato dagli organi di amministrazione, e un registro aggiornato di chi l'ha ricevuta.
| Modulo | Contenuti | Durata indicativa |
|---|---|---|
| 1. La NIS2 e i vertici | Chi è soggetto e perché; obblighi dell'azienda; responsabilità degli organi (art. 23); sanzioni e misure verso gli amministratori (art. 38). | 1 ora |
| 2. I rischi della nostra azienda | Sistemi rilevanti; la valutazione del rischio e il piano di trattamento da approvare; rischi accettati e perché. | 1 ora |
| 3. Le misure di sicurezza | Le misure di base ACN che ci riguardano e lo stato di attuazione; priorità e investimenti. | 1 ora |
| 4. Incidenti e notifiche | Cos'è un incidente significativo; 24 ore, 72 ore, un mese; chi decide cosa. Esercitazione su un caso simulato. | 1,5 ore |
| 5. Fornitori | Fornitori critici, clausole di sicurezza nei contratti e verifiche periodiche. | 45 minuti |
| 6. Continuità e crisi | Piani di continuità, disaster recovery e gestione delle crisi da approvare; il ruolo dei vertici in una crisi. | 45 minuti |
| 7. I vertici come bersaglio | Phishing mirato, frodi del falso amministratore delegato, furto di credenziali: come riconoscerli. | 45 minuti |
Parte 4 · Test di verifica
1. Entro quanto va inviata al CSIRT Italia la pre-notifica di un incidente significativo?
☐ a) Entro 24 ore da quando l'azienda ne ha evidenza
☐ b) Entro 72 ore dall'inizio dell'attacco
☐ c) Entro un mese dalla chiusura dell'incidente
Come si usa
- Adattate il programma. La legge non fissa ore né contenuti: i sette moduli sono una proposta pensata per chi deve approvare valutazione del rischio, politiche e piani, e decidere durante un incidente.
- Fate approvare il piano. Con la delibera della parte 2, che incarica anche qualcuno di organizzarlo e di riferire.
- Tenete il registro. Una riga per persona e per modulo, con la durata e l'esito del test: è la prova richiesta dalla misura PR.AT-01.
- Verificate l'apprendimento. Il test con le soluzioni è nella parte 4; con meno di sette risposte giuste su dieci il modulo si ripete.
- Ripetete ogni anno. E aggiornate il piano quando cambiano le norme, dopo un incidente significativo o quando cambiano i rischi.
Errori comuni
- Formare solo i tecnici. L'obbligo dell'articolo 23 riguarda proprio i vertici, negli importanti come negli essenziali.
- Non conservare le prove. Senza programma, presenze e test la formazione, davanti a un controllo, non esiste.
- Un corso generico sul phishing e basta. I vertici devono poter valutare rischi, piani e incidenti dell'azienda: servono contenuti sul loro ruolo.
- Dimenticare i dipendenti. L'organo di amministrazione promuove anche la formazione periodica del personale (art. 23, c. 2, lett. b).
Approfondite nella guida su responsabilità e formazione degli amministratori.
Domande frequenti
Gli altri modelli gratuiti
Tutti i modelli e gli strumenti- Excel Checklist NIS2: le misure di sicurezza ACN in Excel Tutti i requisiti delle misure di base, per soggetti importanti ed essenziali, con stato, responsabile, evidenze e riepilogo automatico. Scaricatelo gratis
- Word Modello di politica per la sicurezza informatica NIS2 I 16 ambiti chiesti dall'ACN, ognuno con obiettivo e regole da adattare, la corrispondenza con i requisiti e il registro dei riesami. Scaricatelo gratis
- Excel Registro degli incidenti NIS2 e scheda per decidere se notificare La scheda che vi dice se un incidente è significativo e calcola le scadenze, più il registro di tutti gli incidenti con le notifiche. Scaricatelo gratis
- Word Clausole di sicurezza NIS2 per i contratti con i fornitori Un allegato di sicurezza in 17 articoli da unire al contratto, con la corrispondenza agli ambiti ACN e alle 24 domande della verifica annuale. Scaricatelo gratis
Dal modello al documento approvato
In Pilot NIS2 i documenti nascono dalle risposte alle tappe del percorso, con le scadenze e le prove in un unico fascicolo. Preferite essere seguiti? Lo Studio fa anche la consulenza.