NIS2 e Consiglio di Amministrazione: le nuove FAQ ACN chiariscono quali documenti devono essere approvati dal CdA

L’aggiornamento delle FAQ pubblicato dall’Agenzia per la Cybersicurezza Nazionale (ACN) il 14 luglio 2026 rappresenta uno dei chiarimenti più rilevanti per gli organi di governance delle organizzazioni soggette alla direttiva NIS2.

Le nuove FAQ rispondono infatti a una domanda che molti consiglieri di amministrazione, amministratori delegati e responsabili della compliance si sono posti negli ultimi mesi: quali documenti devono essere realmente approvati dal CdA e quali possono invece essere gestiti dalle funzioni operative?

Si tratta di un tema centrale perché coinvolge direttamente le responsabilità dell’organo amministrativo previste dal D.Lgs. 138/2024, che ha recepito in Italia la Direttiva NIS2. Le FAQ non modificano la normativa esistente, ma forniscono indicazioni operative particolarmente utili per comprendere come applicarla nella pratica.

Quali documenti devono essere approvati dal CdA?

Il chiarimento più importante riguarda l’individuazione dei documenti che rientrano nella competenza esclusiva del consiglio di amministrazione.

Secondo l’ACN, sono undici i documenti strategici che devono essere approvati dall’organo di amministrazione:

• organizzazione per la sicurezza informatica;
• politiche di sicurezza informatica;
• valutazione del rischio dei sistemi informativi e di rete;
• piano di trattamento del rischio;
• piano di gestione delle vulnerabilità;
• piano di adeguamento;
• piano di continuità operativa;
• piano di ripristino in caso di disastro (disaster recovery);
• piano di gestione delle crisi;
• piano di formazione;
• piano di gestione degli incidenti di sicurezza informatica.

L’elenco conferma un principio sempre più evidente nella normativa europea: la cybersicurezza non è soltanto una questione tecnologica, ma un tema di governance aziendale.
Per questo motivo il contenuto dei documenti sottoposti al CdA non può essere generico o meramente formale. I consiglieri devono poter comprendere gli elementi essenziali delle scelte proposte, incluse le priorità aziendali, le responsabilità assegnate, le risorse necessarie, i criteri di controllo e i livelli di rischio accettati dall’organizzazione.

In altre parole, il consiglio di amministrazione deve essere posto nelle condizioni di assumere decisioni consapevoli e documentabili.

Quali documenti non devono essere approvati dal CdA?

Uno degli aspetti più utili delle FAQ riguarda la distinzione tra documenti strategici e documentazione operativa.

Non rientrano nella competenza riservata al consiglio di amministrazione:

• procedure tecniche operative;
• istruzioni operative;
• manuali interni;
• relazioni tecniche e documentazione di dettaglio.

Questa precisazione consente di evitare un coinvolgimento eccessivo del CdA nella gestione quotidiana delle attività di cybersecurity.

Le funzioni operative e tecniche possono predisporre, aggiornare e mantenere la documentazione necessaria all’attuazione delle misure di sicurezza, oltre a produrre le evidenze richieste dalla normativa. Al consiglio di amministrazione restano invece le responsabilità di indirizzo strategico, supervisione e approvazione delle scelte che incidono sul profilo di rischio dell’organizzazione.

La distinzione è particolarmente importante per costruire un modello di governance efficace, in cui ciascun soggetto opera nel proprio ambito di competenza senza sovrapposizioni.

Serve un documento unico o più documenti?

Un ulteriore chiarimento riguarda la struttura documentale da adottare.

Le FAQ precisano che i soggetti NIS possono scegliere liberamente se raccogliere tutti i contenuti richiesti all’interno di un unico documento oppure sviluppare più documenti distinti e tra loro coordinati.

L’attenzione dell’ACN non è quindi rivolta alla forma, bensì alla sostanza. Ciò che conta è che tutti i contenuti richiesti siano presenti, coerenti e correttamente governati.
Per molte organizzazioni questo rappresenta un vantaggio significativo, in quanto consente di valorizzare documentazione già esistente senza dover necessariamente riprogettare l’intera architettura documentale.

Resta tuttavia fondamentale garantire adeguati processi di gestione delle versioni, tracciabilità delle modifiche e controllo della documentazione, così da mantenere nel tempo la coerenza dell’intero sistema.

Quando è necessaria una nuova approvazione del consiglio di amministrazione?

Un altro tema frequentemente discusso riguarda gli aggiornamenti dei documenti e dei presidi di sicurezza.

L’ACN introduce una regola generale molto chiara: l’aggiornamento di procedure, controlli o misure tecniche non comporta automaticamente una nuova approvazione da parte del consiglio di amministrazione.

Questo approccio evita che il CdA debba intervenire per ogni modifica operativa, consentendo alle strutture tecniche di svolgere in modo efficiente le attività di manutenzione e miglioramento continuo della sicurezza.

Esiste tuttavia un’importante eccezione.

Qualora una modifica tecnica incida sulle assunzioni strategiche, sulle priorità o sui livelli di rischio che avevano originariamente supportato la decisione del consiglio di amministrazione, diventa necessario valutare un nuovo coinvolgimento dell’organo di governance.

La valutazione deve quindi essere effettuata caso per caso, considerando l’effettivo impatto della modifica sulle scelte strategiche approvate dal CdA.

L’approvazione dei documenti strategici può essere delegata?

Le FAQ aggiornate confermano un altro principio fondamentale della NIS2: l’approvazione dei documenti strategici non è delegabile.

La competenza resta attribuita al consiglio di amministrazione in composizione collegiale oppure, nei modelli di governance che lo prevedono, all’organo monocratico competente.

Le deleghe organizzative possono certamente disciplinare attività operative, flussi informativi e responsabilità interne, ma non possono trasferire ad altri soggetti la responsabilità strategica attribuita dalla normativa all’organo amministrativo.

Per i membri del CdA il messaggio è chiaro: la cybersicurezza è ormai una materia che richiede un coinvolgimento diretto del vertice aziendale.

Cosa devono fare oggi le organizzazioni soggette alla NIS2

Alla luce dei chiarimenti forniti dall’ACN, le organizzazioni interessate dalla normativa dovrebbero verificare alcuni aspetti fondamentali della propria governance.

In particolare, è opportuno:

• distinguere chiaramente i documenti strategici dalla documentazione operativa;
• verificare che i documenti sottoposti al CdA contengano informazioni sufficienti a supportare decisioni consapevoli;
• formalizzare i flussi di reporting verso il consiglio di amministrazione;
• definire criteri chiari per stabilire quando una modifica tecnica richiede il coinvolgimento del CdA;
• garantire la tracciabilità delle deliberazioni e delle modifiche documentali.

Le nuove FAQ ACN offrono infatti un’indicazione precisa: il ruolo del consiglio di amministrazione non è quello di approvare procedure tecniche o attività operative, ma di assumere decisioni strategiche sulla gestione del rischio cyber e di esercitare una supervisione effettiva sulle misure adottate dall’organizzazione.

In questo contesto, la corretta gestione degli undici documenti individuati dall’ACN rappresenta uno degli elementi più importanti per dimostrare un approccio alla NIS2 coerente con le aspettative del legislatore e delle autorità competenti.