VENERDÌ 18 SETTEMBRE 2026
Prima parte: Dalle 09:00 alle 10:30 - Docente: Avv. Prof. Andrea R. Sirotti Gaudenzi

Direttiva NIS2, governance e responsabilità degli organi apicali
La NIS2 come disciplina di governo dell’organizzazione

La Direttiva NIS2 sarà esaminata non soltanto come disciplina tecnica in materia di sicurezza informatica, ma come normativa destinata a incidere sulla governance dell’organizzazione, sugli assetti interni, sui processi decisionali e sulla gestione del rischio.

La cybersicurezza diventa un elemento centrale dell’organizzazione aziendale o dell’ente, con effetti sulla continuità operativa, sulla gestione dei servizi essenziali o importanti, sulle responsabilità interne e sui rapporti con fornitori, partner e soggetti esterni.

• Il ruolo degli organi di amministrazione e direttivi

Saranno approfondite le responsabilità degli organi di amministrazione e direttivi, con particolare riferimento alla necessità di comprendere, approvare e supervisionare le misure di gestione del rischio cyber.

Saranno trattati, in particolare:

• responsabilità degli organi apicali;
• approvazione delle misure di sicurezza;
• supervisione del percorso di adeguamento;
• comprensione del rischio informatico;
• formazione degli organi di amministrazione e direttivi;
• attribuzione di ruoli e responsabilità;
• assegnazione di risorse e budget;
• controllo sull’effettiva attuazione delle misure.

• L’approvazione dei documenti come atto di governance

L’approvazione dei documenti richiesti dalle Linee guida ACN sarà analizzata come un vero atto di governance.
I documenti non costituiscono semplici allegati formali, ma strumenti attraverso i quali l’organo amministrativo definisce indirizzi, priorità, responsabilità, risorse, controlli e modalità di monitoraggio.

L’approvazione documentale rappresenta quindi un passaggio essenziale per dimostrare che l’organizzazione ha preso in carico il rischio cyber e ha avviato un percorso strutturato di adeguamento.

• Cybersecurity, adeguati assetti e continuità aziendale

Sarà approfondito il collegamento tra Direttiva NIS2, adeguati assetti organizzativi, gestione del rischio d’impresa e continuità aziendale.

Particolare attenzione sarà dedicata a:

• processi critici;
• sistemi informativi e di rete;
• continuità operativa;
• dipendenze da fornitori esterni;
• servizi IT e cloud;
• gestione delle crisi;
• responsabilità degli organi apicali;
• documentazione del percorso decisionale.
  
  
• Dalla compliance documentale alla prova dell’organizzazione

La parte finale dell’intervento sarà dedicata al valore probatorio della documentazione.
Saranno esaminati gli strumenti attraverso i quali l’organizzazione può dimostrare l’effettiva presa in carico del rischio cyber:

• delibere;
• verbali;
• flussi informativi;
• report periodici;
• piani di adeguamento;
• monitoraggio delle attività;
• evidenze documentali;
• riesame periodico da parte degli organi competenti.

Seconda parte: Dalle 10.30 alle 13.00 - Docente Avv. Gualtiero Roveda

I documenti dell’Appendice C: template operativi, criteri di redazione, approvazione ed evidenze
Come leggere l’Appendice C delle Linee guida ACN

La seconda parte del corso sarà dedicata all’individuazione e all’analisi dei documenti che devono essere predisposti e sottoposti all’approvazione degli organi di amministrazione e direttivi.

Saranno illustrati i criteri per costruire un perimetro documentale coerente con la struttura dell’organizzazione, con i requisiti applicabili e con le misure di sicurezza di base.

Saranno trattati:

• individuazione dei documenti richiesti;
• collegamento con i requisiti di riferimento;
• proporzionalità rispetto a dimensioni, attività, servizi e rischi;
• coordinamento tra documenti di governance e piani operativi;
• raccordo con il piano di adeguamento;
• evidenze da raccogliere e conservare.

• Documenti oggetto dei template

1. Organizzazione per la sicurezza informatica

Saranno forniti criteri per redigere il documento che descrive il modello organizzativo adottato per la cybersicurezza.

Il documento dovrà indicare:

• ruoli e responsabilità;
• funzioni coinvolte;
• referenti interni;
• flussi decisionali;
• flussi informativi verso gli organi apicali;
• rapporti con fornitori esterni;
• modalità di aggiornamento del modello organizzativo;
• raccordo con gli organi di amministrazione e direttivi.

2. Politiche di sicurezza informatica

Saranno illustrate le modalità per impostare le politiche generali di sicurezza informatica dell’organizzazione.

Il documento dovrà disciplinare:

• principi generali di sicurezza;
• obiettivi della politica;
• ambito di applicazione;
• regole interne;
• responsabilità;
• collegamento con procedure già esistenti;
• modalità di aggiornamento;
• criteri di comunicazione interna.

3. Valutazione del rischio posto alla sicurezza dei sistemi informativi e di rete

Sarà analizzato il documento di valutazione del rischio cyber quale base del percorso di adeguamento.

Saranno trattati:

• attività e servizi rilevanti;
• processi critici;
• sistemi informativi e di rete;
• minacce;
• vulnerabilità;
• impatti;
• misure di sicurezza esistenti;
• rischio residuo;
• criteri di priorità;
• collegamento con le misure di sicurezza di base.

4. Piano di trattamento del rischio

Saranno illustrate le modalità per trasformare la valutazione del rischio in un piano di azioni concrete.

Il piano dovrà contenere:

• misure da adottare;
• priorità di intervento;
• responsabili interni;
• scadenze;
• risorse necessarie;
• budget;
• fornitori coinvolti;
• modalità di verifica dell’attuazione;
• aggiornamenti da sottoporre agli organi apicali.

5. Piano di gestione delle vulnerabilità

Sarà analizzato il documento destinato a disciplinare l’identificazione, la valutazione e il trattamento delle vulnerabilità.

Saranno esaminati:

• scansioni periodiche;
• segnalazioni interne ed esterne;
• patch management;
• classificazione delle vulnerabilità;
• tempi di intervento;
• responsabilità operative;
• tracciamento delle attività;
• riesame periodico;
• raccordo con fornitori IT e servizi esterni.

6. Piano di adeguamento

Sarà illustrato come costruire il piano operativo verso la scadenza di ottobre 2026.

Il documento dovrà indicare:

• attività da completare;
• gap da colmare;
• cronoprogramma;
• priorità;
• responsabilità interne;
• fornitori coinvolti;
• dipendenze operative;
• evidenze da raccogliere;
• stato di avanzamento;
• aggiornamenti da presentare al CdA o all’organo equivalente.

7. Piano di continuità operativa

Saranno forniti criteri per impostare il documento finalizzato ad assicurare la continuità delle attività e dei servizi rilevanti.

Il piano dovrà considerare:

• scenari di indisponibilità;
• processi prioritari;
• servizi essenziali o importanti;
• risorse necessarie;
• ruoli e responsabilità;
• tempi di ripristino;
• comunicazioni interne ed esterne;
• verifiche e test periodici;
• collegamento con la valutazione del rischio.

8. Piano di ripristino in caso di disastro

Sarà approfondita la distinzione tra continuità operativa e disaster recovery.

Il piano dovrà disciplinare:

• sistemi critici;
• infrastrutture;
• backup;
• priorità di ripristino;
• responsabilità tecniche;
• tempi di recupero;
• test periodici;
• raccordo con fornitori IT, cloud provider e outsourcer;
• conservazione delle evidenze dei test effettuati.

9. Piano di gestione delle crisi

Saranno illustrate le modalità per predisporre un piano destinato alla gestione degli eventi critici che superano la normale operatività.

Il documento dovrà prevedere:

• composizione del gruppo di crisi;
• ruoli e poteri decisionali;
• procedure di attivazione;
• comunicazioni interne;
• comunicazioni esterne;
• rapporti con clienti e fornitori;
• rapporti con autorità e organi societari;
• gestione delle evidenze;
• riesame post-crisi.

10. Piano di formazione

Sarà analizzato il piano formativo necessario per supportare l’attuazione della Direttiva NIS2.

Il documento dovrà indicare:

• destinatari della formazione;
• contenuti formativi;
• periodicità;
• formazione degli organi apicali;
• sensibilizzazione del personale;
• formazione dei referenti tecnici e organizzativi;
• tracciamento delle presenze;
• conservazione delle evidenze;
• aggiornamento dei percorsi formativi.

11. Piano per la gestione degli incidenti di sicurezza informatica

Saranno forniti criteri per impostare ruoli, procedure e flussi relativi alla gestione degli incidenti cyber.

Il piano dovrà disciplinare:

• rilevazione degli incidenti;
• classificazione dell’evento;
• escalation interna;
• analisi dell’incidente;
• contenimento;
• raccolta delle evidenze;
• comunicazioni interne;
• coinvolgimento dei fornitori;
• collegamento con gli obblighi di notifica;
• riesame dell’incidente;
• azioni correttive.
  
  
• Approvazione, verbalizzazione e conservazione delle evidenze

Nella parte finale dell’intervento saranno esaminate le modalità operative per sottoporre i documenti agli organi di amministrazione e direttivi.

Saranno trattati:

• predisposizione delle delibere;
• verbalizzazione delle decisioni;
• indicazione dei documenti approvati;
• richiamo alla valutazione del rischio;
• approvazione di piani, misure, risorse e priorità;
• attribuzione delle responsabilità;
• richiesta di aggiornamenti periodici;
• gestione delle versioni documentali;
• conservazione delle evidenze;
• tracciabilità delle approvazioni;
• programmazione del riesame periodico;
• predisposizione di un fascicolo documentale NIS2.

• Materiali operativi per i partecipanti

Ai partecipanti saranno messi a disposizione materiali di supporto, tra cui:

• proposte operative di template documentali;
• tracce per la redazione dei principali documenti richiesti dalle Linee guida ACN;
• criteri per adattare i template alla propria organizzazione;
• schema di piano di adeguamento verso ottobre 2026;
• tracce di delibera;
• tracce di verbalizzazione;
• indicazioni per la conservazione delle evidenze documentali;
• schema di fascicolo documentale NIS2;
• indicazioni operative per il riesame periodico dei documenti approvati.