Cybersecurity nel CdA: le 5 domande di ogni amministratore

In sintesi

• La NIS2, recepita con il D.Lgs. 138/2024, assegna agli organi di amministrazione quattro obblighi espliciti all’art. 23: approvare le misure di gestione del rischio, sorvegliarne l’attuazione, rispondere delle violazioni, formarsi ed estendere la formazione al personale.
• Per i soggetti inseriti nell’elenco ACN nel 2025 le misure di base vanno adottate entro ottobre 2026, secondo l’art. 3 della Determinazione ACN 379907/2025: il termine decorre dalla comunicazione di inserimento, quindi il giorno esatto cambia da soggetto a soggetto.
• Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali. In caso di mancata ottemperanza a una diffida dell’ACN può essere disposta l’incapacità temporanea di svolgere funzioni dirigenziali (art. 38, comma 6).
• Il punto cieco più frequente è il documento già condiviso: l’autenticazione e la cifratura in transito proteggono l’accesso iniziale, poi il file viene inoltrato, copiato o caricato su un sistema di AI esterno fuori da ogni controllo.
• FileGrant, la piattaforma file-centric di CyberGrant, risponde al punto cieco della seconda domanda: cifra il documento alla creazione, mantiene la protezione dopo la condivisione con revoca e scadenze, e registra ogni apertura, modifica e download.
• Un CdA non dimostra la conformità con le policy. La dimostra con evidenze che il sistema produce da solo, disponibili senza una raccolta straordinaria.

Cybersecurity e consiglio di amministrazione (CdA): le 5 domande che ogni amministratore dovrebbe fare

Con la NIS2 il rischio cyber entra nella responsabilità del CdA: come valutare controlli, continuità operativa ed evidenze senza fermarsi alle rassicurazioni.

Governance del rischio cyber e accountability degli organi direttivi

Al CdA non mancano i report: dashboard, percentuali di patching e indici di rischio arrivano ogni mese. Mancano le domande giuste da porre e ricevere le risposte che servono per prendere decisioni informate.

Inoltre, gli organi di amministrazione devono rispondere agli obblighi previsti dall’art. 23 del D.Lgs. 138/2024: approvare le modalità di attuazione delle misure di gestione del rischio cyber, sorvegliarne l’implementazione, rispondere delle violazioni e acquisire una formazione adeguata, oltre che estenderla al personale. Questi obblighi degli organi di amministrazione ai sensi del D.Lgs. 138/2024 definiscono il perimetro della responsabilità degli amministratori NIS2.

Un amministratore non deve saper leggere un report SIEM, bensì deve capire se la risposta che riceve descrive un controllo reale o è solo una rassicurazione ben confezionata.

Cinque domande del CdA al CISO

Ecco le cinque domande del CdA al CISO e a CEO, risk manager, legale e internal audit che fanno la differenza.

DOMANDA 1 - Quali dati potremmo perdere domani mattina e chi li ha in mano oggi?

Perché si fa - Non si protegge ciò che non si conosce. Molte aziende hanno un inventario tecnologico maturo, ma non una mappa degli asset informativi: dati personali, contratti, progetti, credenziali, backup, informazioni condivise con terzi. Intanto i dati si disperdono tra cloud, SaaS, consulenti e piattaforme di intelligenza artificiale.

Una risposta solida include:

• Tassonomia approvata per classificare le informazioni (pubbliche, interne, riservate, critiche).
• Inventario dei dati collegato ai processi, con proprietari di business e non solo tecnici.
• Localizzazione di ogni dataset: cloud, SaaS, endpoint, backup, soggetti terzi.
• Riesame periodico dei privilegi di accesso.
• Una valutazione dei dati caricati su strumenti di AI, anche non approvati.

Una risposta efficace è una sintesi di informazioni. Eccone un esempio: "Questi dieci dataset sostengono il 70% dei ricavi; di seguito le informazioni in termini di owner, rischi e azioni in corso".

Campanello d'allarme - "I dati sono sui nostri sistemi", "abbiamo un backup di tutto", "gli accessi sono gestiti da Active Directory": risposte che confondono l'infrastruttura con l'informazione. Manca anche una visione sulla shadow AI: secondo il Rapporto IBM “Costo del data breach 2025”, il 20% delle violazioni ha coinvolto shadow AI, e solo il 37% ha policy per gestirla o rilevarla.

DOMANDA 2 - Cosa succede ai nostri documenti dopo che li abbiamo condivisi con un fornitore o un cliente?

Perché si fa - La maggior parte dei programmi di sicurezza protegge l'accesso iniziale (ad esempio autenticazione, endpoint, cifratura in transito) ma, una volta che il file è stato inviato, scaricato o inoltrato, l'organizzazione ne perde visibilità e controllo. Il documento può essere copiato, caricato su un sistema di AI esterno o conservato oltre il termine contrattuale.

È importante ricordare che la sicurezza della supply chain NIS2 rende il tema centrale per il CdA. Inoltre, la Determinazione ACN n. 127437/2026, adottata ad aprile 2026, ha introdotto l'elencazione dei fornitori rilevanti, evidenziando come la gestione dei terzi si converta in un presidio di resilienza e non più solo in un fatto contrattuale.

Una risposta solida descrive la protezione file-centrica lungo tutto il ciclo di vita del documento:

• Regole su cosa si condivide, con chi e attraverso quali canali
• Accessi nominativi con autenticazione multi fattore e restrizioni su download e inoltro per i documenti sensibili.
• Tracciabilità di chi apre, modifica, scarica o inoltra una risorsa critica.
• Revoca dell'accesso dopo la condivisione, anche automatica alla scadenza del contratto.
• Clausole su notifica degli incidenti, subfornitori e restituzione o cancellazione dei dati.
• Elenco dei fornitori rilevanti collegato a servizi, dati e processi essenziali.

Campanello d'allarme - "Abbiamo fatto firmare un NDA" non basta: la riservatezza contrattuale non sostituisce controllo tecnico e tracciabilità. Sono segnali critici anche gli allegati e-mail per documenti sensibili, le cartelle senza proprietario, gli accessi generici a intere aziende fornitrici e l'impossibilità di sapere quali terze parti accedono oggi a dati o sistemi critici.

DOMANDA 3 - Quanto durerebbe un fermo operativo e quanto ci costerebbe?

Perché si fa - Una cybersecurity matura non conta solo gli attacchi bloccati: misura la capacità di continuare a operare. Un ransomware o la compromissione di un fornitore possono fermare produzione, logistica, fatturazione e servizi regolamentati.

Il report IBM 2026 indica il costo medio globale di un data breach pari a 4,99 milioni di dollari, in aumento del 12% rispetto ai 4,44 milioni del 2025. Il costo include investigazione, recupero, interruzione del servizio, notifiche, contenzioso e danno reputazionale.

Una risposta solida è quella che fornisce:

• Processi prioritari identificati e una business impact analysis aggiornata.
• Obiettivi definiti: Recovery Time Objective, Recovery Point Objective e livello minimo di servizio.
• Backup isolati, protetti dalle credenziali amministrative e realmente testati.
• Esercitazioni periodiche (tabletop) con CEO, legale, comunicazione e CdA.
• Tempi reali emersi da test o incidenti, non dichiarazioni di policy.

Un esempio: "La gestione ordini deve ripartire in otto ore. L'ultimo test ha richiesto sei ore e venti; abbiamo scoperto una dipendenza non documentata da un fornitore SaaS e l’aggiornamento del piano di recovery è previsto entro il trimestre".

Campanello d'allarme - “Abbiamo i backup” è una risposta incompleta. Il CdA dovrebbe chiedere: sono isolati? Sono protetti da compromissioni dell’identità amministrativa? Sono stati testati con esito positivo? Quanto tempo è servito? Quali applicazioni non sono state ripristinate? Quali dipendenze esterne bloccano il recupero?
È un segnale particolarmente critico quando nessuno sa tradurre un fermo tecnico in conseguenze di business. Se un’organizzazione non conosce il costo di 24 ore di indisponibilità del servizio principale, non può stabilire con rigore né il proprio appetito al rischio né la priorità degli investimenti.

DOMANDA 4 - Chi risponde personalmente se non siamo compliant? E con quali conseguenze?

Perché si fa – È la domanda più scomoda, ma rende concreto il requisito NIS2 in termini di accountability degli organi direttivi. Di fatto, la norma non chiede agli amministratori di gestire firewall o incident response, ma di indirizzare, approvare e vigilare. Il CISO propone controlli e fornisce evidenze, mentre l'accettazione dei rischi rilevanti resta una responsabilità di governance.

Il CdA deve conoscere anche il quadro delle sanzioni NIS2 per il management: fino a 10 milioni di euro o al 2% del fatturato annuo mondiale per i soggetti essenziali, fino a 7 milioni o all'1,4% per quelli importanti. Inoltre, in caso di mancato rispetto di una diffida dell'ACN possono essere previste misure accessorie anche nei confronti del legale rappresentante e dei componenti degli organi di amministrazione. Una polizza cyber insurance, infine, non elimina gli obblighi normativi e può avere esclusioni rilevanti per carenze note o insufficiente diligenza.

Una risposta solida è una presentazione al CdA che illustra:

• Rischio cyber, fornendone frequenza e indicatori definiti.
• Rischi accettati formalmente, con chi li ha accettati e per quanto tempo.
• Decisioni del CdA verbalizzate: programmi, budget, piani di remediation, esercitazioni.
• Formazione cyber per il board, periodica e aggiornata nel tempo, estesa agli amministratori e a tutta l’organizzazione.
• Coperture assicurative, con massimali ed esclusioni noti agli amministratori.

Campanello d'allarme - "È una questione dell'ufficio compliance", "se ne occupa l'IT", "abbiamo la cyber insurance, quindi siamo coperti", "il CdA viene informato solo in caso di incidente grave"; “la formazione può essere posticipata”. L’assenza di informazioni e presa di decisioni, unitamente alla mancata attuazione di adeguate azioni, quale la formazione per gli amministratori, è una criticità diretta, perché l'obbligo è esplicito nel decreto.

DOMANDA 5 - Come dimostriamo la compliance ad un ispettore o auditor, senza preparare nulla?

Perché si fa – Oggi la compliance è una leva strategica per la resilienza. Policy, procedure e certificazioni non bastano se l'organizzazione non è in grado di produrre rapidamente evidenze che dimostrino l'effettivo funzionamento dei controlli. È proprio nello scarto tra «abbiamo una policy» e «possiamo dimostrare che funziona» che emerge il rischio di non compliance.

La Determinazione ACN n. 127437/2026 si muove in questa direzione: ha aggiornato le modalità di accesso e di utilizzo della piattaforma digitale ACN e ha introdotto la categorizzazione delle attività e dei servizi, insieme all'elencazione dei fornitori rilevanti. La conformità alla NIS2 deve, quindi, basarsi su informazioni strutturate, aggiornate e riconciliabili con l'operatività aziendale. Per i soggetti inseriti nell'elenco dal 2025, inoltre, i tempi sono stretti: le misure di base devono essere implementate entro ottobre 2026 per adempiere agli obblighi della determinazione n. 379907/2025.

Una risposta solida è il management che fornisce, senza attività straordinarie, informazioni in termini di:

• Perimetro applicabile della gestione del rischio e processi critici.
• Decisioni del CdA ed evidenze della formazione degli amministratori.
• Registro dei rischi con owner, scadenze e rischi residui accettati.
• Inventario di dati, asset critici e fornitori rilevanti, con le relative valutazioni.
• Esiti di vulnerability assessment, penetration test, audit e prove di ripristino.
• Registro di incidenti ed esercitazioni, con stato delle azioni correttive.

Campanello d'allarme - «Dobbiamo chiedere alle varie funzioni», «la documentazione è distribuita», «gli ultimi test non sono stati formalizzati». Risposte di questo tipo rivelano una compliance fragile, che si attiva per raccogliere le evidenze solo in prossimità di un audit. La cyber resilience, invece, deve essere un processo continuo, non un'iniziativa una tantum.

Dalla rassicurazione alla prova: la resilienza come responsabilità di governance

Nessuna risposta può garantire una sicurezza assoluta. Un CdA consapevole della propria accountability nella gestione del rischio cyber, però, non cerca rassicurazioni: pretende chiarezza sugli asset e sui processi critici, sulle dipendenze esterne, sui tempi di recupero, sui rischi formalmente accettati e sulle evidenze che dimostrano l'efficacia delle misure adottate.

La NIS2 rende esplicito un principio decisivo: la cybersecurity è continuità aziendale e governo d’impresa. A un amministratore non è richiesta la competenza tecnica di un analista SOC, ma la capacità di distinguere una metrica da un’evidenza, una misura dichiarata da una misura verificata e una rassicurazione da una decisione informata. È su questa capacità che si misura una resilienza dimostrabile, non soltanto dichiarata.

Le evidenze non si raccolgono, esistono o non esistono

La differenza tra “abbiamo una policy” e “possiamo dimostrare che funziona” si decide nel punto in cui il documento viene condiviso. Se quel passaggio avviene via e-mail o su una cartella senza proprietario, l’evidenza va ricostruita a posteriori interrogando le funzioni, ed è esattamente il comportamento che un auditor legge come compliance fragile.

La virtual data room di FileGrant inverte il verso: il registro esiste perché il documento è nato dentro un perimetro che lo traccia. Chi ha aperto, quando, da dove, cosa ha scaricato, a chi ha inoltrato. Ai file definitivi si applica la data certa con certificato di marca temporale, che li rende scaricabili ma non più modificabili.

Per il CdA è la differenza tra una rassicurazione e una prova. Scopri FileGrant

Come risponde FileGrant alle cinque domande del CdA?

Delle cinque domande, la seconda e la quinta sono quelle a cui un’organizzazione risponde con un controllo tecnico o non risponde affatto. Le altre tre hanno un presidio diverso: una business impact analysis, un verbale di consiglio, un piano di remediation. Per il documento già condiviso con un fornitore, invece, la risposta più diffusa resta l’NDA, che è un impegno contrattuale e non produce né controllo né tracciabilità.

FileGrant, la piattaforma file-centric di CyberGrant, lavora esattamente lì. Il documento viene cifrato alla creazione e resta cifrato anche quando esce: i download usano Lock&Go con crittografia quantum-safe CRYSTALS-Kyber (standard NIST FIPS 203). L’accesso è nominativo, revocabile in tempo reale e scadenzabile alla fine di un contratto, anche sui file già scaricati in locale. Screenshot e condivisione dello schermo su Zoom, Meet e Teams vengono bloccati durante la consultazione, e un watermark dinamico riporta nome utente, data e ora su ogni pagina visualizzata. I file protetti non vengono letti dai sistemi di intelligenza artificiale, il che chiude il canale che la Domanda 1 segnala come scoperto nella maggior parte delle organizzazioni.

Quando la condivisione con terzi è strutturata, come in una due diligence o in un’ispezione, FileGrant la gestisce come virtual data room: spazio dedicato, permessi per singolo utente o per gruppo, tag per classificare i documenti, editing online integrato con Microsoft 365 e data certa con certificato di marca temporale sui file definitivi, che restano scaricabili e non più modificabili.

Sulla quinta domanda il contributo è diverso ed è quello che interessa di più a un consiglio. L’area Attività di FileGrant conserva chi ha aperto, modificato, scaricato o inoltrato un documento, con operazione e orario, e consente notifiche sulle operazioni sui file condivisi. La modalità On Behalf permette ai super amministratori di eseguire controlli di sicurezza per conto di un utente durante un audit o un incident response. L’evidenza esiste perché il documento è nato dentro un perimetro che lo traccia, non perché qualcuno l’ha ricostruita in vista dell’audit.

Dove i documenti sono già in SharePoint e OneDrive, la stessa cifratura arriva con Connector di CyberGrant, senza migrazione e senza sostituire Microsoft 365. La classificazione automatica dei contenuti è l’estensione AIGrant, che applica i permessi di FileGrant mentre recupera i documenti.

Su quanto durerebbe un fermo operativo e su chi risponde personalmente davanti all’ACN, FileGrant non è la risposta: la prima è continuità operativa, la seconda è governance. Riduce però il valore di quello che viene portato fuori, perché un file esfiltrato resta cifrato. Vedi tutte le funzionalità di FileGrant o la pagina Soluzioni DLP.

FAQ

Quali responsabilità ha il CdA in materia di cybersecurity?

Secondo l'art. 23 del D.Lgs. 138/2024, gli organi di amministrazione e i direttivi approvano le modalità di attuazione delle misure di gestione del rischio, ne sovrintendono l'applicazione e rispondono delle violazioni. Inoltre, devono seguire una formazione specifica e promuoverla tra i dipendenti. Non è un ruolo operativo: il CdA indirizza, approva e vigila.

Il Consiglio di amministrazione (CdA) può essere sanzionato per la NIS2?

Sì, ma con conseguenze graduate. Le sanzioni pecuniarie sono applicate anzitutto al soggetto essenziale o importante. Tuttavia, la persona fisica responsabile dell’inadempimento o il rappresentante legale può risponderne quando il soggetto rappresentato viola il decreto (art. 38, comma 5). Inoltre, se il soggetto non ottempera a una diffida dell’ACN, può essere disposta nei confronti della persona interessata l’incapacità temporanea di svolgere funzioni dirigenziali (art. 38, comma 6). Questa misura non si aggiunge automaticamente alla sanzione pecuniaria.

Cosa deve chiedere un amministratore al responsabile della sicurezza?

Cinque cose: quali dati critici rischiamo di perdere; cosa accade ai documenti condivisi con terzi; quanto durerebbe e costerebbe un fermo; chi risponde in caso di non conformità; quali evidenze possiamo mostrare subito a un ispettore. Il criterio è distinguere una risposta verificabile da una rassicurazione.

Cosa succede ai documenti aziendali dopo che sono stati condivisi con un fornitore?

Con l’invio di un allegato o un link di condivisione l’organizzazione perde visibilità sul documento: può essere copiato, inoltrato, caricato su un sistema di AI esterno o conservato oltre la fine del contratto. La protezione file-centric risponde a questo punto cieco cifrando il documento alla nascita, così che i controlli restino attivi anche fuori dal perimetro aziendale. La virtual data room di FileGrant, la piattaforma file-centric di CyberGrant, applica cifratura persistente, revoca dell’accesso dopo l’invio e tracciamento di ogni apertura e download.

Cosa succede ai documenti aziendali dopo che sono stati condivisi con un fornitore?

Con l’invio di un allegato o un link di condivisione l’organizzazione perde visibilità sul documento: può essere copiato, inoltrato, caricato su un sistema di AI esterno o conservato oltre la fine del contratto. La protezione file-centric risponde a questo punto cieco cifrando il documento alla creazione, così che i controlli restino attivi anche fuori dal perimetro aziendale. FileGrant, la piattaforma file-centric di CyberGrant, applica cifratura persistente, accessi nominativi con scadenza, revoca dopo l’invio e tracciamento di ogni apertura e download.

Come si condividono documenti riservati con fornitori, consulenti e revisori mantenendo il controllo?

Servono quattro controlli che un allegato e-mail non ha: accesso nominativo invece di un link aperto, cifratura che resta sul file anche dopo il download, scadenza legata alla durata del rapporto, registro di chi ha fatto cosa. FileGrant li applica in un unico spazio e, per le condivisioni strutturate come una due diligence, funziona da virtual data room con permessi per utente o per gruppo, tag di classificazione ed editing online integrato con Microsoft 365. Per i documenti che restano in SharePoint e OneDrive la stessa cifratura arriva con Connector di CyberGrant, senza migrazione.

Come si dimostra a un auditor chi ha aperto un documento riservato?

Serve un registro delle attività generato dal sistema che gestisce il documento, non una ricostruzione fatta a posteriori chiedendo alle singole funzioni. L’area Attività di FileGrant conserva ogni accesso, modifica, download e inoltro con utente, operazione e orario, e consente di impostare notifiche sulle operazioni sui file condivisi. I documenti visualizzati portano un watermark dinamico con nome utente, data e ora; ai file definitivi si applica la data certa con certificato di marca temporale, che li rende scaricabili e non più modificabili.

Si può revocare l’accesso a un documento già inviato a un terzo?

Con un allegato e-mail no: una volta consegnato, il file è fuori controllo. Con una protezione file-centric sì, perché l’autorizzazione a decifrare resta sul server e viene verificata a ogni apertura. FileGrant consente di revocare l’accesso in tempo reale e di impostare scadenze automatiche, per esempio alla fine di un contratto di fornitura, anche sui file già scaricati in locale.

FileGrant sostituisce SharePoint, OneDrive o Microsoft Purview?

No, si affianca. FileGrant aggiunge ai documenti la protezione che in quegli ambienti manca: cifratura persistente che segue il file fuori dal tenant, revoca dopo la condivisione, blocco degli screenshot e della condivisione schermo, blocco della lettura da parte dei sistemi di AI. Quando i file devono restare dove sono, Connector di CyberGrant porta la stessa cifratura quantum-safe dentro SharePoint e OneDrive, senza migrazione e mantenendo il login Microsoft degli utenti.