Nel mese di luglio 2026 l’Agenzia per la Cybersicurezza Nazionale (ACN) ha aggiornato le FAQ dedicate all’applicazione del decreto legislativo 4 settembre 2024, n. 138, che ha recepito in Italia la direttiva (UE) 2022/2555 (NIS2).
Le nuove risposte pubblicate il 14 luglio 2026 riguardano il ruolo degli organi di amministrazione e degli organi direttivi nella governance della cybersicurezza, mentre quelle del 24 luglio 2026 affrontano il tema dei rapporti con i fornitori e degli accordi di condivisione delle informazioni previsti dall’art. 17 del decreto.
Pur non avendo natura normativa, queste FAQ rappresentano il principale riferimento interpretativo dell’Autorità competente e consentono di comprendere come l’ACN interpreti alcune delle disposizioni più complesse del decreto NIS.
Per le imprese soggette alla disciplina NIS2 si tratta di indicazioni particolarmente rilevanti, poiché incidono su due aspetti centrali della compliance: la corretta impostazione della governance interna e la gestione della catena di fornitura.
Perché le nuove FAQ ACN meritano attenzione
Negli ultimi mesi molte organizzazioni hanno predisposto politiche, procedure, registri dei rischi, piani di trattamento, nomine e documentazione tecnica per conformarsi agli obblighi introdotti dal d.lgs. n. 138/2024.
Tuttavia, l’applicazione concreta della normativa ha fatto emergere numerosi dubbi interpretativi.
Tra i più ricorrenti vi sono:
- quali documenti devono essere approvati dal Consiglio di Amministrazione;
- quali responsabilità possono essere delegate alle funzioni tecniche;
- come distinguere una politica di sicurezza da una procedura operativa;
- quali rapporti con i fornitori assumono rilievo ai fini della NIS2;
- quando un contratto può integrare un accordo di condivisione delle informazioni sulla sicurezza informatica.
Le FAQ pubblicate dall’ACN intervengono proprio su questi aspetti, fornendo indicazioni operative che consentono alle imprese di verificare se il proprio modello organizzativo sia coerente con l’impostazione dell’Autorità.
Le FAQ del 14 luglio 2026: il ruolo degli organi di amministrazione
Uno dei principali chiarimenti riguarda l’interpretazione dell’art. 23 del d.lgs. n. 138/2024.
La norma attribuisce agli organi di amministrazione e direttivi un ruolo centrale nella governance della cybersicurezza, prevedendo che approvino le modalità di attuazione delle misure di gestione del rischio, ne supervisionino l’attuazione e acquisiscano una formazione adeguata in materia di sicurezza informatica.
Nella pratica, però, molte organizzazioni hanno interpretato questi obblighi in modo estremamente prudenziale.
Non sono mancati casi nei quali il Consiglio di Amministrazione è stato chiamato ad approvare ogni documento relativo alla sicurezza informatica, comprese procedure operative, istruzioni tecniche, manuali di configurazione, procedure di backup o documentazione relativa alla gestione delle vulnerabilità.
Le FAQ dell’ACN contribuiscono a chiarire che una simile impostazione non è necessariamente richiesta dalla normativa.
Governance e operatività non coincidono
Il principio che emerge dalle FAQ è che gli organi di amministrazione sono chiamati a svolgere un ruolo di indirizzo strategico e di supervisione.
Ciò significa che devono assumere le decisioni che incidono sulla governance complessiva della cybersicurezza, verificare che l’organizzazione disponga di risorse adeguate e controllare l’efficacia delle misure adottate.
Diverso è il piano della gestione operativa.
La documentazione tecnica necessaria per dare concreta attuazione alle politiche aziendali può essere predisposta, aggiornata e gestita dalle funzioni competenti, purché rimanga coerente con gli indirizzi strategici approvati dagli organi amministrativi.
Non si tratta quindi di una riduzione delle responsabilità degli amministratori, bensì di una loro più precisa delimitazione.
La distinzione tra policy e procedure assume un ruolo centrale
Uno degli aspetti più interessanti delle FAQ è il richiamo implicito alla distinzione tra documenti strategici e documenti operativi.
Le politiche di sicurezza individuano gli obiettivi, i principi e le responsabilità generali dell’organizzazione.
Le procedure descrivono invece le modalità operative attraverso cui tali principi vengono applicati.
Questa distinzione non rappresenta una mera classificazione documentale.
Dal punto di vista organizzativo consente di evitare che ogni aggiornamento operativo debba essere sottoposto al Consiglio di Amministrazione, garantendo maggiore rapidità nell’adeguamento delle misure di sicurezza e una più efficiente gestione dei processi aziendali.
Le FAQ del 24 luglio 2026: il focus si sposta sulla supply chain
Il secondo aggiornamento pubblicato dall’ACN affronta un tema sempre più centrale nella disciplina NIS2: la sicurezza della catena di fornitura.
Le FAQ prendono in esame gli accordi di condivisione delle informazioni sulla sicurezza informatica previsti dall’art. 17 del d.lgs. n. 138/2024, chiarendo il loro rapporto con i contratti stipulati con i fornitori.
È importante precisare che le FAQ non affermano che tutti i contratti con fornitori costituiscano automaticamente accordi di condivisione delle informazioni.
Al contrario, l’ACN chiarisce che occorre valutare il contenuto concreto del rapporto e verificare se esso preveda effettivamente uno scambio strutturato di informazioni rilevanti ai fini della sicurezza informatica.
Il chiarimento assume particolare rilievo perché evita interpretazioni eccessivamente estensive che avrebbero finito per ricomprendere qualsiasi contratto avente ad oggetto servizi ICT.
Supply chain e gestione del rischio: due temi strettamente collegati
Le FAQ del 24 luglio si inseriscono in un contesto più ampio.
La NIS2 attribuisce infatti un’importanza crescente alla gestione dei rischi derivanti dalla catena di fornitura.
Le organizzazioni non sono chiamate soltanto a proteggere i propri sistemi informativi, ma anche a valutare i rischi connessi ai rapporti con fornitori, prestatori di servizi, partner tecnologici e soggetti che, a diverso titolo, possono incidere sulla sicurezza dei servizi essenziali o importanti.
Sotto questo profilo, gli accordi di condivisione delle informazioni rappresentano uno degli strumenti attraverso cui rafforzare la cooperazione tra i diversi soggetti coinvolti nella gestione della sicurezza informatica.
È però opportuno non confondere i due piani.
La gestione della supply chain costituisce un obbligo più ampio previsto dalle misure di gestione del rischio disciplinate dal decreto.
Gli accordi di condivisione delle informazioni disciplinati dall’art. 17 rappresentano invece uno specifico istituto volto a regolare lo scambio di informazioni rilevanti per la cybersicurezza.
Le FAQ chiariscono il rapporto tra questi due profili senza sovrapporli.
Le ricadute pratiche per le imprese
I chiarimenti dell’ACN suggeriscono alle organizzazioni di riesaminare il proprio modello di governance e la documentazione predisposta per l’adeguamento alla NIS2.
In particolare, appare opportuno:
- verificare quali documenti richiedano effettivamente l’approvazione degli organi di amministrazione;
- distinguere chiaramente politiche, procedure e istruzioni operative;
- formalizzare la ripartizione delle responsabilità tra organi di governo e funzioni tecniche;
- riesaminare i rapporti con i fornitori di servizi ICT e cybersecurity;
- verificare se alcuni rapporti contrattuali comportino uno scambio strutturato di informazioni rilevanti ai fini della sicurezza informatica;
- valutare l’adeguatezza delle clausole contrattuali dedicate alla cooperazione e alla gestione degli incidenti.
L’obiettivo non dovrebbe essere quello di incrementare la produzione documentale, ma di costruire un sistema di governance realmente efficace, proporzionato ai rischi dell’organizzazione e concretamente applicabile.
Alcune considerazioni
Le FAQ pubblicate nel mese di luglio confermano un’evoluzione ormai evidente della disciplina NIS2.
La cybersicurezza non può più essere considerata una questione esclusivamente tecnica né essere demandata unicamente alle funzioni ICT.
Essa diventa parte integrante della governance aziendale e richiede un coinvolgimento attivo degli organi di amministrazione, chiamati a definire gli indirizzi strategici e a vigilare sulla loro attuazione.
Parallelamente, emerge con sempre maggiore forza il tema della sicurezza della supply chain.
Le organizzazioni sono chiamate a conoscere i propri fornitori, valutare i rischi derivanti dai rapporti contrattuali e disciplinare in modo adeguato la cooperazione in materia di sicurezza informatica.
In questo contesto, le FAQ dell’ACN non introducono nuovi obblighi, ma contribuiscono a chiarire come quelli già previsti dal legislatore debbano essere interpretati e applicati.
Conclusioni
Gli aggiornamenti pubblicati dall’ACN il 14 e il 24 luglio 2026 rappresentano un importante passo avanti nell’interpretazione della disciplina NIS2.
Da un lato chiariscono il ruolo degli organi di amministrazione, confermando la distinzione tra indirizzo strategico e gestione operativa. Dall’altro richiamano l’attenzione sulla sicurezza della catena di fornitura e sul corretto inquadramento degli accordi di condivisione delle informazioni previsti dall’art. 17 del d.lgs. n. 138/2024.
Per le organizzazioni soggette alla NIS2, questo è il momento opportuno per verificare che il modello di governance, la documentazione interna e la contrattualistica con i fornitori siano coerenti con i chiarimenti forniti dall’ACN.
Più che un semplice aggiornamento interpretativo, le nuove FAQ costituiscono un’occasione per rafforzare la maturità organizzativa dell’impresa e sviluppare un approccio alla cybersicurezza realmente integrato nella gestione del rischio aziendale.