La sicurezza informatica non è più un tema tecnico riservato ai reparti IT. Con l’entrata in vigore della Direttiva NIS 2 (EU 2022/2555) e la sua progressiva attuazione in Italia, la cybersecurity è diventata un elemento centrale della governance aziendale. Per le imprese, questo significa ripensare in profondità alle proprie procedure di gestione del rischio.
In questo contesto, il collegamento tra NIS 2 e D.Lgs. 231/2001 rappresenta un’opportunità per rafforzare la resilienza organizzativa e ridurre i rischi operativi, legali e reputazionali.
Il nuovo contesto normativo: NIS 2 e responsabilità degli organi di vertice
La Direttiva NIS 2 amplia il numero di soggetti obbligati e introduce regole più stringenti sulla gestione della sicurezza delle reti e dei sistemi informativi. Le imprese devono:
- adottare misure tecniche e organizzative proporzionate al rischio;
- attuare procedure di segnalazione e risposta agli incidenti;
- coinvolgere direttamente gli organi di vertice nella governance della sicurezza informatica.
Questi requisiti si intrecciano con i principi di “organizzazione, gestione e controllo” già previsti dal D.Lgs. 231/2001, rafforzando l’esigenza di modelli interni strutturati e verificabili.
Il Modello 231 come leva per la compliance NIS 2
Il Modello Organizzativo 231, se aggiornato alla luce della NIS 2, può diventare un vero strumento di cyber risk governance. L’integrazione consente di prevenire la responsabilità dell’ente e, allo stesso tempo, di presidiare i rischi informatici come parte del rischio d’impresa.
Alcuni esempi di allineamento:
- inserire le policy di cybersecurity nel Codice Etico aziendale;
- formalizzare le misure previste dalla NIS 2 nei protocolli del MOG;
- integrare la cyber risk assessment nella mappatura dei rischi 231;
- estendere i controlli alla supply chain IT e ai fornitori critici;
- formare l’Organismo di Vigilanza sui rischi digitali e informatici.
Governance e tecnologia: due dimensioni inseparabili
La cybersecurity non può essere delegata solo agli strumenti tecnici. È necessario un approccio integrato che unisca governance, monitoraggio, auditing e miglioramento continuo. Questo modello richiama il principio di due diligence organizzativa previsto dal D.Lgs. 231/2001, rafforzando l’idea che la conformità alla NIS 2 debba passare da un MOG evoluto e dinamico.
NIS 2 e Modello 231: l’integrazione come leva strategica per le imprese
L’allineamento tra la Direttiva NIS 2 e il Modello 231 rappresenta una scelta strategica per le organizzazioni che vogliono rafforzare la propria governance e proteggersi dai rischi legati alla cybersecurity.
Integrare i due sistemi significa:
- ridurre in modo concreto la probabilità di incidenti informatici e le relative sanzioni;
- tutelare la reputazione aziendale nei confronti di clienti, partner e istituzioni;
- salvaguardare la continuità operativa anche in scenari di crisi;
- dimostrare, anche in sede giudiziale, l’efficacia dei presidi adottati e l’impegno etico nella prevenzione degli illeciti.
Questa integrazione non va intesa come una semplice somma di obblighi normativi, ma come un modello virtuoso di gestione che genera valore e rafforza la fiducia degli stakeholder.
Per le imprese, adottare un approccio sistemico che unisca NIS 2 e Modello 231 significa ripensare processi, ruoli e responsabilità, trasformando la sicurezza informatica in una componente strutturale della governance. In questo modo, la conformità non resta un esercizio formale, ma diventa un asset capace di garantire solidità operativa, sostenibilità e competitività sul mercato.
