· fonte ACN
Organi di amministrazione: cosa approvano davvero, secondo le nuove FAQ dell'ACN
L'approvazione resta al consiglio, il lavoro operativo si può delegare. Gli undici documenti da approvare, a livello di indirizzo, e le procedure che si aggiornano senza tornare in consiglio.
Il 14 luglio 2026 l'ACN ha aggiornato le FAQ sugli obblighi degli organi di amministrazione e direttivi dei soggetti NIS: ha integrato le FAQ ODA.8 e ODA.9 e ne ha aggiunte tre nuove, ODA.10, ODA.11 e ODA.12. Rispondono alla domanda che ogni consiglio di amministrazione si pone davanti alla NIS2: cosa dobbiamo approvare noi, con quale livello di dettaglio, e ogni quanto dobbiamo tornarci sopra?
Cosa chiariscono
L'approvazione non si delega (ODA.8 e ODA.9)
L'approvazione dei documenti previsti dall'art. 23 del d.lgs. 138/2024 è una competenza esclusiva dell'organo collegiale, o dell'amministratore unico dove c'è, e non può essere delegata, nemmeno a un singolo consigliere o a un comitato. Si possono delegare invece le attività operative che servono ad attuare gli obblighi. La delega operativa non sposta la responsabilità: le violazioni restano in capo agli organi di amministrazione.
Gli undici documenti da approvare (ODA.10)
La FAQ li elenca con la misura che ne chiede l'approvazione:
| Documento | Misura ACN |
|---|---|
| Organizzazione per la sicurezza informatica | GV.RR-02, punto 1 |
| Politiche di sicurezza informatica | GV.PO-01, punto 3 |
| Valutazione del rischio | ID.RA-05, punto 3 |
| Piano di trattamento del rischio | ID.RA-06, punto 3 |
| Piano di gestione delle vulnerabilità | ID.RA-08, punto 4 |
| Piano di adeguamento | ID.IM-01, punto 1 |
| Piano di continuità operativa, piano di ripristino in caso di disastro, piano di gestione delle crisi | ID.IM-04, punto 4 |
| Piano di formazione | PR.AT-01, punto 2 |
| Piano per la gestione degli incidenti | RS.MA-01, punto 2 |
Il punto chiave è il livello di dettaglio: questi documenti devono riflettere i requisiti delle misure almeno a livello di indirizzo e pianificazione strategica, così che l'organo possa decidere consapevolmente. Il dettaglio tecnico e operativo può stare in procedure, istruzioni, manuali e relazioni interne, curati dalle strutture competenti.
Uno o più documenti, e niente riapprovazioni a ogni modifica (ODA.11 e ODA.12)
La documentazione si può organizzare come si preferisce, in un documento unico o in più documenti coordinati. Le procedure richiamate nei documenti approvati non devono essere approvate dall'organo: il piano degli incidenti, per esempio, può limitarsi a elencare le procedure collegate (ODA.11). E se una di quelle procedure cambia, non serve riapprovare il documento che la richiama (ODA.12).
Chi riguarda
I consigli di amministrazione, gli amministratori unici e gli organi con funzioni analoghe di tutti i soggetti NIS, essenziali e importanti, e chi prepara per loro i documenti: responsabili IT, della sicurezza, consulenti. Per chi è entrato nell'elenco nel 2026 le approvazioni seguono il termine delle misure di base, il 31 luglio 2027 (det. ACN 127434/2026).
Cosa fare
- Separate indirizzo e operatività. Scrivete gli undici documenti come atti di indirizzo, brevi e leggibili da un consigliere, e spostate il dettaglio nelle procedure. Le politiche sono spiegate in politiche di sicurezza.
- Approvate con una delibera che elenca i documenti, con versione e data, e conservatela nel fascicolo: è una delle prime prove che l'ACN può chiedere.
- Fissate le scadenze di riesame dei documenti che le hanno (organizzazione, valutazione del rischio, piani di continuità e degli incidenti almeno ogni due anni; politiche almeno ogni anno), come in i documenti da tenere aggiornati.
- Non dimenticate la formazione dei componenti dell'organo (art. 23, c. 2): c'è un modello di piano di formazione per gli amministratori tra i modelli gratuiti.
Il ruolo del consiglio, le responsabilità e cosa rischia è in NIS2 e amministratori.
La fonte ufficiale
Questo articolo riassume e commenta un atto o una notizia pubblicati dall'Agenzia per la cybersicurezza nazionale. Il testo di riferimento è ACN, «Aggiornate le FAQ ACN sugli obblighi degli organi di amministrazione e direttivi dei soggetti NIS», 14 luglio 2026, su acn.gov.it. La data in testa alla pagina è quella della fonte; il nostro testo è aggiornato il 13 novembre 2026.
Pilot trasforma gli obblighi NIS2 in un percorso in otto tappe, con uno scadenzario che vi avvisa prima delle finestre dell'ACN e tiene in ordine documenti e prove. Non sostituisce un consulente o un legale: vi fa arrivare preparati.
Preferite essere seguiti da un ingegnere? La consulenza NIS2 dello Studio
