C’è un requisito NIS2 che le PMI sbagliano con una regolarità sorprendente, e non perché sia tecnicamente difficile: perché lo indirizzano alla persona sbagliata. Quando si legge “formazione in cybersicurezza”, il riflesso è iscrivere a un corso chi si occupa di sistemi. L’art. 23 del D.Lgs. 138/2024 chiede l’opposto.
L’obbligo è in capo agli organi di amministrazione e direttivi. Non all’IT.
Questo articolo non ripete cosa prevede la NIS2 — per quello c’è la guida alle misure di base con la scadenza del 31 ottobre. Risponde alle tre domande che restano scoperte una volta capito chi deve formarsi: cosa deve contenere quella formazione, con che frequenza, e quali documenti servono perché regga a un controllo.
I quattro obblighi dell’art. 23, separati
Il testo assegna agli organi di amministrazione e direttivi dei soggetti essenziali e importanti quattro cose diverse, che vale la pena tenere distinte perché si risolvono in modo diverso:
- Approvare le modalità di implementazione delle misure di gestione dei rischi per la sicurezza informatica.
- Supervisionare la loro attuazione nel tempo.
- Formarsi, con formazione continua e specifica in materia di cybersicurezza — è la lettera a).
- Garantire la formazione periodica del personale — è la lettera b).
E su tutto questo grava una responsabilità personale in caso di violazione: è la novità sostanziale della NIS2 rispetto all’approccio precedente, dove la sicurezza restava un tema delegato per intero alla funzione tecnica.
⚠️ Il punto 3 e il punto 4 vengono costantemente confusi, e la confusione ha una conseguenza concreta: si documenta la formazione del personale — che è più facile da organizzare e da tracciare — e si resta senza evidenze su quella dei vertici. Sono due adempimenti separati, con due tracce documentali separate.
Perché non è delegabile
L’obiezione ragionevole è: l’amministratore non deve saper configurare un firewall, per questo esiste chi lo fa.
È vero, e non è ciò che la norma chiede. Chiede che chi approva le misure sia in grado di capire cosa sta approvando. Un consiglio che ratifica un piano di sicurezza senza avere gli strumenti per valutarlo non sta esercitando una supervisione: sta firmando.
La distinzione pratica è questa: l’attuazione tecnica si delega, l’obbligo formativo e la responsabilità di approvare no. Chi risponde in caso di violazione resta l’organo, e la delega interna non trasferisce quella posizione.
Cosa deve contenere, in concreto
La norma parla di formazione adeguata e continua senza fissare un programma né un numero di ore. Non è una lacuna: è coerente con l’impostazione della NIS2, che commisura le misure al rischio effettivo. Ma lascia una domanda operativa aperta, e la risposta utile è capovolgere il criterio — non “quante ore”, ma “in grado di fare cosa”.
Un organo amministrativo formato adeguatamente dovrebbe essere in condizione di:
- Leggere un’analisi del rischio e capire quali scenari sono considerati e quali esclusi, senza doversi fidare.
- Valutare una proposta di spesa in sicurezza rispetto al rischio che riduce, e non solo rispetto al budget disponibile.
- Sapere cosa accade in caso di incidente: chi decide, chi comunica, entro quali termini scattano gli obblighi di notifica ad ACN — c’è un runbook operativo su 24 e 72 ore che è materiale da consiglio, non solo da tecnici.
- Riconoscere i rischi introdotti dai fornitori e capire perché la mappa degli accessi di terzi è una misura e non un adempimento burocratico.
- Distinguere una misura attiva da una misura dichiarata, che è la differenza su cui si giocano i rilievi ispettivi.
Sono cinque capacità di lettura e decisione, non cinque competenze tecniche. Ed è il motivo per cui una formazione pensata per sistemisti, somministrata a un consiglio di amministrazione, non assolve l’obbligo pur essendo formazione in cybersicurezza.
La parte che decide l’esito: le evidenze
Su un requisito verificabile vale una regola che conviene interiorizzare: una sessione svolta ma non tracciata equivale a una sessione non svolta. Non perché l’ispettore sia in malafede, ma perché non ha altro modo di accertarla.
Il minimo che serve, e che si prepara in mezz’ora se lo si fa contestualmente:
| Documento | Cosa deve dire |
|---|---|
| Registro dei partecipanti | Chi era presente, con firma o log della piattaforma se la sessione è stata online |
| Programma dei contenuti | Gli argomenti effettivamente trattati, non il titolo del corso |
| Data e durata | Quando, per quanto tempo — è ciò che rende dimostrabile la “continuità” nel tempo |
| Materiali erogati | Slide, dispense, registrazione: la prova di cosa è stato detto |
| Verbale di approvazione | Per la parte di approvazione delle misure, il verbale della riunione dell’organo |
L’ultima riga è quella che manca quasi sempre. L’approvazione delle misure di gestione del rischio è un atto dell’organo amministrativo: se non risulta a verbale, formalmente non è avvenuta — indipendentemente da quante riunioni ne abbiano parlato.
Con che frequenza
“Continua” significa che non è un adempimento una tantum, e questo ha una conseguenza organizzativa più che formativa: serve una cadenza decisa in anticipo e rispettata, perché è la ripetizione documentata a dimostrare la continuità.
Due momenti in cui la formazione va comunque rifatta, a prescindere dalla cadenza scelta:
- Al rinnovo o al cambio dei componenti dell’organo. Un amministratore nuovo entra senza la formazione dei predecessori, e l’obbligo è personale.
- Dopo un cambiamento significativo del rischio: un incidente, l’ingresso in un nuovo mercato, l’adozione di una tecnologia che modifica la superficie di attacco.
Questo è anche il punto in cui la formazione NIS2 conviene mettere a sistema con gli altri obblighi formativi, invece di trattarla come un’isola: il piano di formazione aziendale è lo strumento in cui la cadenza diventa verificabile.
Un precedente che avete già affrontato
Se la struttura sembra familiare, è perché lo è. L’art. 4 dell’AI Act impone un obbligo formativo di impianto identico — competenze adeguate, documentazione dell’avvenuta formazione — e ne abbiamo scritto in AI literacy: l’obbligo dell’art. 4 e come documentarlo.
Non è una coincidenza: il legislatore europeo sta convergendo su un modello in cui la competenza di chi decide è essa stessa una misura di sicurezza, e va provata come le altre. Chi ha già impostato la documentazione per l’AI Act ha metà del lavoro fatto: cambia il contenuto, non l’impianto delle evidenze.
Cosa fare, in ordine
- Stabilire chi è “organo di amministrazione e direttivo” nella vostra struttura. In una PMI non è sempre ovvio: può includere l’amministratore unico, i consiglieri, i direttori con deleghe operative.
- Verificare cosa esiste già. Molte aziende hanno fatto sessioni informative senza documentarle: se la sostanza c’è, spesso basta ricostruire la traccia mentre la memoria è fresca.
- Colmare la parte mancante con una sessione mirata sui cinque punti sopra, e documentarla contestualmente — non dopo.
- Portare l’approvazione delle misure a verbale, che è l’evidenza più spesso assente e la più semplice da produrre.
- Fissare la cadenza e i due trigger di aggiornamento.
Il punto 2 è quello che fa risparmiare più tempo, e viene quasi sempre saltato: si riparte da zero quando la sostanza esisteva già.
Se serve organizzare la sessione per l’organo amministrativo, la nostra formazione aziendale on-site si costruisce sul contesto specifico dell’azienda, e la cybersecurity gestita copre la parte di misure ed evidenze che l’organo deve poi approvare e supervisionare. Se invece volete prima capire dove siete, il punto di partenza gratuito è l’autovalutazione NIS2.
Stato delle informazioni: aggiornate l’11 agosto 2026. I riferimenti sono il D.Lgs. 138/2024 e le indicazioni ACN, che sulle responsabilità degli organi di amministrazione e direttivi ha pubblicato chiarimenti in forma di FAQ: essendo una normativa in attuazione, verificate le indicazioni più recenti sul sito dell’Agenzia prima di formalizzare il piano.