Non esiste UNA risposta a chi riceve una comunicazione di irregolarità in materia di cybersicurezza. La reazione corretta cambia radicalmente in base a chi sei: un grande fornitore di servizi digitali classificato come soggetto essenziale non ha le stesse leve difensive di una PMI qualificata come soggetto importante, e un’impresa inserita nel Perimetro di Sicurezza Nazionale Cibernetica affronta un procedimento diverso rispetto a un subfornitore della filiera che riceve la contestazione solo per riflesso contrattuale.

Pensiamo a tre situazioni reali: una società di managed security services che riceve un atto di accertamento ACN per il ritardo nella notifica di un incidente; una piccola software house che scopre solo ora di rientrare tra i “soggetti importanti” NIS2 e riceve una richiesta di chiarimenti; un amministratore delegato che si vede recapitare, insieme alla contestazione verso la società, un richiamo personale per omessa vigilanza. Tre percorsi difensivi completamente diversi, con termini, oneri probatori e margini di trattativa che non si sovrappongono mai del tutto.

In questa guida analizziamo la disciplina comune a tutte le imprese di cybersecurity destinatarie di una comunicazione di irregolarità (NIS2, D.Lgs. 138/2024, Perimetro di Sicurezza Nazionale Cibernetica) e poi, profilo per profilo, cosa cambia davvero: soglie, termini di difesa, rischi specifici e mosse da compiere nell’ordine giusto. Trovi anche simulazioni numeriche, i casi misti più frequenti, una tabella di confronto e le pronunce più rilevanti sul procedimento sanzionatorio amministrativo che, per analogia, orientano anche la difesa in questa materia ancora giovane.

Lo Studio Monardo segue la materia della cybersicurezza d’impresa da un punto di vista specifico e verificabile: la difesa nei procedimenti sanzionatori amministrativi verso autorità e organismi di vigilanza richiede la stessa continuità strategica, dalla fase istruttoria fino all’eventuale giudizio di legittimità, che l’Avvocato porta avanti in qualità di cassazionista; quando l’irregolarità si somma a tensioni di liquidità o a un percorso di crisi già in corso, la funzione di Esperto Negoziatore della crisi d’impresa ai sensi del D.L. 118/2021 diventa la leva realmente decisiva per evitare che una sanzione pecuniaria elevata trascini l’impresa verso l’insolvenza.

📩 Contattaci ora: in fondo a questa guida trovi tutti i riferimenti per parlare subito con lo Studio della tua comunicazione di irregolarità.

Indice dei profili

1. Il soggetto essenziale NIS2
2. Il soggetto importante NIS2
3. Il soggetto incluso nel Perimetro di Sicurezza Nazionale Cibernetica
4. Il fornitore/subfornitore della filiera cyber
5. L’amministratore e l’organo di vertice

Le regole comuni a tutti

Prima di entrare nei profili, è necessario fissare la base normativa condivisa, perché ogni sezione successiva vi farà riferimento senza ripeterla.

Il quadro normativo di riferimento. La Direttiva (UE) 2022/2555 (NIS2) è stata recepita in Italia con il D.Lgs. 138/2024, entrato in vigore il 16 ottobre 2024. L’autorità nazionale competente per la vigilanza, la registrazione dei soggetti obbligati, la ricezione delle notifiche di incidente e l’irrogazione delle sanzioni è l’Agenzia per la Cybersicurezza Nazionale (ACN). In parallelo, per i soggetti più critici per la sicurezza dello Stato, resta in vigore la disciplina del Perimetro di Sicurezza Nazionale Cibernetica (PSNC), introdotta dal D.L. 105/2019 conv. L. 133/2019 e progressivamente attuata con DPCM e determine ACN, oggi rafforzata dalla L. 90/2024 (Legge Cybersicurezza).

Cosa si intende per “comunicazione di irregolarità”. Nella prassi dei procedimenti di vigilanza cyber, l’espressione indica genericamente l’atto con cui l’Agenzia comunica al soggetto vigilato l’esito non conforme di un’ispezione, di un controllo documentale o dell’esame di una notifica di incidente: può trattarsi di una richiesta di chiarimenti, di un verbale di accertamento, di una contestazione formale che apre il procedimento sanzionatorio, o di un ordine di conformarsi entro un termine. La qualificazione esatta dell’atto ricevuto è il primo passo, perché da essa dipendono i termini di reazione: un conto è rispondere a una richiesta istruttoria, un altro è presentare memorie difensive in un procedimento sanzionatorio già formalmente aperto.

Le violazioni più frequenti. La casistica emersa finora riguarda soprattutto: il mancato rispetto delle tempistiche di notifica degli incidenti significativi (preallerta entro 24 ore, notifica entro 72 ore, relazione finale) secondo le taxonomie e i criteri fissati dalle determine ACN; l’assenza o l’inadeguatezza delle misure di gestione del rischio previste dall’articolo 21 della Direttiva NIS2 e recepite nel decreto italiano; l’omessa o tardiva registrazione come soggetto obbligato sul portale ACN; le carenze nella formazione degli organi di vertice, oggi esplicitamente richiesta dalla normativa.

Le sanzioni astrattamente applicabili. Per i soggetti privati le sanzioni amministrative pecuniarie possono raggiungere, a seconda della qualificazione, importi fino a 10.000.000 € o al 2% del fatturato annuo mondiale per i soggetti essenziali, e fino a 7.000.000 € o all’1,4% del fatturato annuo mondiale per i soggetti importanti, prendendo a riferimento l’importo più elevato tra i due parametri. Accanto alla sanzione pecuniaria, l’Autorità può imporre ordini di conformarsi, audit di sicurezza indipendenti a spese del soggetto vigilato e, nei casi più gravi, dare pubblicità alla non conformità accertata.

Il diritto di difesa nel procedimento. Anche se la materia NIS2/PSNC è normativamente giovane, il procedimento sanzionatorio dell’ACN si inserisce nel solco tracciato in Italia per tutte le autorità indipendenti (Garante Privacy, Consob, Banca d’Italia, AGCM): un accertamento istruttorio, una contestazione degli addebiti, un termine per presentare memorie difensive e documenti, un’eventuale audizione, un provvedimento finale motivato, opponibile davanti al giudice. Questo significa che la fase difensiva pre-provvedimento non è una formalità: è il momento in cui si può ancora incidere sulla qualificazione dei fatti, sulla gravità della violazione contestata e, in molti casi, sull’entità della sanzione finale.

I termini generali di reazione. In assenza di un termine specificamente indicato nell’atto, valgono di regola i termini ordinari dei procedimenti amministrativi (30 giorni per le osservazioni, salvo termini più brevi o più lunghi espressamente fissati). Il termine indicato nell’atto va sempre rispettato alla lettera: la giurisprudenza formatasi su procedimenti sanzionatori analoghi (Garante Privacy, Consob) ha più volte ribadito che il rispetto dei termini procedimentali non è un mero adempimento burocratico ma un presidio del diritto di difesa, tanto che il loro superamento da parte della stessa autorità può travolgere l’intero procedimento.

1. Il soggetto essenziale NIS2

LA TUA SITUAZIONE. Sei un’impresa di cybersecurity — ad esempio un fornitore di servizi di sicurezza gestiti (MSSP), un operatore di infrastrutture digitali critiche o un’azienda che supera le soglie dimensionali previste (250 dipendenti o 50 milioni di euro di fatturato annuo, con bilancio superiore a 43 milioni) operando in uno dei settori ad alta criticità individuati dagli allegati al decreto NIS2. L’ACN ti ha già notificato o ti sta per notificare l’inclusione nel registro dei soggetti essenziali, oppure hai ricevuto una comunicazione di irregolarità a seguito di un’ispezione o di una notifica di incidente ritenuta carente.

COSA CAMBIA PER TE. Sei sottoposto al regime più rigoroso previsto dal D.Lgs. 138/2024: ispezioni anche a sorpresa, richieste di audit di sicurezza indipendenti a tue spese, obbligo di adottare tutte le misure tecniche e organizzative previste dall’articolo 21 della Direttiva (gestione dei rischi della catena di approvvigionamento, cifratura, gestione degli accessi, continuità operativa). La soglia sanzionatoria massima è la più alta prevista dalla normativa: fino a 10 milioni di euro o al 2% del fatturato mondiale, con applicazione del parametro più sfavorevole per l’impresa. Per i soggetti essenziali, inoltre, l’ACN può procedere a verifiche anche in assenza di un incidente segnalato, sulla base di programmi di vigilanza proattiva.

I NUMERI. Ipotizziamo un fornitore di servizi di sicurezza gestiti con fatturato mondiale di 42.000.000 €: il 2% corrisponde a 840.000 €, importo inferiore al tetto assoluto di 10 milioni. In questo caso il parametro applicabile sarebbe il tetto assoluto, se superiore al 2%, oppure il 2% del fatturato se questo supera 500 milioni di euro (il 2% di 500 milioni è pari a 10 milioni, punto di incrocio tra i due criteri). Per imprese con fatturato inferiore a questa soglia, il calcolo percentuale resta quindi il parametro concretamente più rilevante nella maggior parte dei casi.

I RISCHI SPECIFICI. Il rischio principale per il soggetto essenziale è la recidiva aggravata: una prima comunicazione di irregolarità non adeguatamente gestita, anche se conclusa con una sanzione contenuta o con un semplice ordine di conformarsi, costituisce precedente che l’Autorità può valorizzare in un successivo procedimento, incidendo sulla graduazione della sanzione futura. Rischi ulteriori: la pubblicità della non conformità, che per un’impresa di cybersecurity ha un impatto reputazionale spesso più severo della sanzione pecuniaria stessa, trattandosi del cuore del proprio mercato di riferimento; l’ordine di audit indipendente a proprie spese, che si somma economicamente alla sanzione.

LE MOSSE GIUSTE.

1. Qualifica esattamente l’atto ricevuto (richiesta istruttoria, contestazione, ordine di conformarsi) e verifica il termine per le controdeduzioni indicato nell’atto stesso.
2. Ricostruisci in modo documentale la cronologia dell’incidente o della carenza contestata, individuando ogni elemento che dimostri diligenza (log, policy interne, precedenti audit, formazione erogata agli organi di vertice).
3. Prepara memorie difensive puntuali sull’an (l’esistenza stessa della violazione) e, in subordine, sul quantum (la graduazione della sanzione, valorizzando le misure correttive già adottate).
4. Valuta la richiesta di audizione, se prevista dal regolamento procedimentale applicabile, per illustrare direttamente agli uffici le misure correttive intraprese.
5. Non attendere il provvedimento finale per predisporre la strategia di eventuale opposizione: la continuità tra la fase procedimentale e quella giudiziale è ciò che permette di non perdere elementi difensivi già maturati.

GIURISPRUDENZA DEDICATA. In materia di sanzioni di elevato importo irrogate da autorità indipendenti, la Corte di Cassazione (Sez. I civ., 8 luglio 2025, n. 18583, nel procedimento Garante Privacy/Enel Energia, relativo a una sanzione di oltre 26 milioni di euro) ha chiarito che il rispetto dei termini procedimentali distingue nettamente la fase investigativa da quella propriamente sanzionatoria, e che il superamento di tale confine incide sulla legittimità dell’intero provvedimento: un principio direttamente trasponibile ai procedimenti ACN, strutturati in modo analogo.

2. Il soggetto importante NIS2

LA TUA SITUAZIONE. Sei una PMI di cybersecurity — spesso una realtà di sviluppo software, penetration testing, gestione infrastrutture cloud o consulenza in sicurezza — che supera le soglie dimensionali minori (50 dipendenti o 10 milioni di euro di fatturato annuo) rientrando nei settori critici individuati dagli allegati II e IV del decreto NIS2. Spesso scopri la tua qualificazione solo al momento della registrazione obbligatoria sul portale ACN, o peggio, al momento in cui ricevi la comunicazione di irregolarità per non esserti registrato affatto.

COSA CAMBIA PER TE. Il regime di vigilanza per i soggetti importanti è, sulla carta, meno intrusivo: la vigilanza è tendenzialmente reattiva (attivata da un incidente, da una segnalazione o da un controllo a campione) piuttosto che proattiva come per i soggetti essenziali. Tuttavia, proprio perché molte PMI di cybersecurity non hanno strutture di compliance dedicate, il rischio concreto di incorrere in violazioni “di sistema” (mancata registrazione, assenza di procedure di incident management formalizzate) è più alto. Il tetto sanzionatorio massimo è inferiore rispetto ai soggetti essenziali: fino a 7 milioni di euro o all’1,4% del fatturato mondiale, ma per una PMI anche importi apparentemente contenuti in valore assoluto possono rappresentare una percentuale del fatturato ben più incisiva che per un grande gruppo.

I NUMERI. Ipotizziamo una software house di sicurezza con fatturato annuo di 3.200.000 €: l’1,4% corrisponde a 44.800 €. Se la contestazione riguarda una mancata notifica di incidente aggravata da recidiva, l’Autorità può motivare l’applicazione di una sanzione superiore alla soglia percentuale ordinaria facendo leva sul tetto assoluto solo in presenza di violazioni di particolare gravità; nella prassi finora osservata su procedimenti analoghi (Garante Privacy), la sanzione effettivamente irrogata si è quasi sempre attestata ben al di sotto del massimo edittale, specie in assenza di danni concreti a terzi.

I RISCHI SPECIFICI. Il rischio maggiore per il soggetto importante è la sottovalutazione iniziale: molte PMI di cybersecurity ritengono, erroneamente, che la propria attività tecnica (sviluppo, consulenza) le ponga “fuori perimetro” rispetto a NIS2, quando in realtà rientrano tra i soggetti importanti in quanto fornitrici di servizi digitali o di sicurezza gestita. Questo porta a mancate registrazioni scoperte solo in sede ispettiva, con conseguente contestazione automatica indipendentemente dall’adeguatezza sostanziale delle misure di sicurezza adottate. Un secondo rischio è la carenza documentale: avere adottato misure tecniche adeguate ma non averle formalizzate in policy verificabili espone comunque a contestazione, perché l’onere della prova dell’adeguatezza grava sul soggetto vigilato.

LE MOSSE GIUSTE.

1. Verifica prioritariamente, anche in via preventiva, se la tua attività rientra tra i soggetti importanti secondo gli allegati del decreto NIS2, indipendentemente dalla percezione soggettiva del proprio “core business”.
2. Se la contestazione riguarda la mancata registrazione, predisponi immediatamente la regolarizzazione, perché la tempestività dell’adeguamento successivo alla contestazione è elemento che l’Autorità tipicamente valorizza in sede di graduazione della sanzione.
3. Documenta ex post, se non lo avevi già fatto, le misure tecniche effettivamente in uso al momento dei fatti contestati, distinguendo ciò che era già operativo da ciò che è stato introdotto successivamente.
4. Presenta memorie difensive che leghino esplicitamente le dimensioni dell’impresa alla proporzionalità della sanzione richiesta, criterio che la normativa NIS2 impone espressamente all’Autorità di considerare.
5. Valuta un piano di conformità formalizzato da allegare alle controdeduzioni, utile sia in sede procedimentale sia come prova di buona fede in un’eventuale fase di opposizione giudiziale.

GIURISPRUDENZA DEDICATA. Sul principio di proporzionalità nella determinazione delle sanzioni amministrative pecuniarie in materia di sicurezza dei dati, rileva la pronuncia della Corte di Giustizia dell’Unione Europea del 14 dicembre 2023 (causa C-340/21), richiamata anche in provvedimenti del Garante Privacy, secondo cui l’adeguatezza delle misure tecniche e organizzative va valutata in concreto rispetto al rischio specifico dell’attività svolta, e non in astratto: un criterio interpretativo pienamente applicabile anche alla valutazione delle misure ex articolo 21 NIS2 per una PMI di cybersecurity.

3. Il soggetto incluso nel Perimetro di Sicurezza Nazionale Cibernetica

LA TUA SITUAZIONE. Sei un’impresa di cybersecurity che fornisce servizi o tecnologie a funzioni o servizi essenziali dello Stato, e sei stato formalmente incluso nel Perimetro di Sicurezza Nazionale Cibernetica con atto amministrativo comunicato dall’ACN, oppure ricevi ora una comunicazione di irregolarità relativa agli obblighi specifici del Perimetro (notifica incidenti ICT, comunicazione preventiva di acquisizione di beni e servizi ICT destinati ad asset strategici, rispetto delle misure di sicurezza dei DPCM attuativi).

COSA CAMBIA PER TE. Il regime PSNC si affianca, e in parte si sovrappone, a quello NIS2, ma con una caratteristica distintiva: l’obbligo di comunicazione preventiva per l’acquisizione di beni, sistemi e servizi ICT destinati a essere impiegati sui beni ICT strategici, sottoposta alla valutazione dei Centri di Valutazione e del Centro di Valutazione e Certificazione Nazionale. Questo significa che, per un fornitore di soluzioni di cybersecurity incluso nel Perimetro, l’irregolarità può riguardare non solo la propria organizzazione interna ma anche le forniture erogate a clienti che sono a loro volta soggetti PSNC, con un effetto di responsabilità “a cascata” tipico di questa disciplina.

I NUMERI. La disciplina del Perimetro, a differenza del tetto percentuale NIS2, prevede sanzioni amministrative pecuniarie calcolate secondo scaglioni fissi collegati alla gravità della violazione e, per le violazioni più gravi collegate a dichiarazioni non veritiere sui beni ICT strategici, anche profili di rilevanza penale. Ipotizziamo un’impresa che ha omesso la comunicazione preventiva per una fornitura software del valore di 180.000 €: la sanzione amministrativa concretamente irrogabile viene determinata considerando sia il valore della fornitura sia l’effettivo impatto sulla sicurezza del bene strategico coinvolto, e può essere significativamente ridotta se l’impresa dimostra di aver regolarizzato spontaneamente la comunicazione prima dell’avvio dell’ispezione.

I RISCHI SPECIFICI. Il rischio più insidioso per il soggetto PSNC è la duplicazione dei procedimenti: la medesima carenza di sicurezza può generare, in parallelo, un procedimento NIS2 (se l’impresa rientra anche tra i soggetti essenziali o importanti) e un procedimento PSNC, con termini e uffici istruttori distinti. Un secondo rischio è la possibile rilevanza penale delle dichiarazioni rese ai Centri di Valutazione, che rende necessaria, in caso di contestazione grave, una valutazione integrata con un difensore penalista fin dalle prime fasi, anche quando l’atto ricevuto ha ancora natura amministrativa.

LE MOSSE GIUSTE.

1. Verifica se la comunicazione di irregolarità riguarda la tua organizzazione interna, una fornitura specifica erogata a un cliente PSNC, oppure entrambe.
2. Distingui fin da subito il profilo amministrativo da quello eventualmente penale, per evitare che dichiarazioni rese in sede di controdeduzioni amministrative vengano poi utilizzate contro l’impresa in altra sede.
3. Ricostruisci la tracciabilità delle comunicazioni preventive già effettuate, perché l’assenza di un adempimento formale non implica automaticamente l’assenza di adeguate misure di sicurezza sostanziali.
4. Coordina la difesa con l’eventuale cliente PSNC coinvolto dalla fornitura contestata, quando la contestazione nasce da una segnalazione proveniente da quest’ultimo.
5. Presenta, ove possibile, un piano di regolarizzazione immediato per le comunicazioni preventive mancanti, elemento che l’Autorità tende a valorizzare nella graduazione della sanzione.

GIURISPRUDENZA DEDICATA. Sul principio secondo cui, nei procedimenti sanzionatori amministrativi che presentano una connotazione sostanzialmente afflittiva assimilabile a quella penale, va garantito un contraddittorio rafforzato, si veda l’elaborazione sviluppata dalla giurisprudenza in tema di sanzioni delle autorità indipendenti (tra le altre, Cons. Stato, Sez. VI, 26 marzo 2015, n. 1595, sul procedimento sanzionatorio Consob), che distingue la fase istruttoria da quella decisoria proprio per garantire l’effettività delle difese in procedimenti dall’elevato impatto economico e reputazionale, criterio pienamente riferibile anche ai procedimenti PSNC per la loro severità sanzionatoria.

4. Il fornitore/subfornitore della filiera cyber

LA TUA SITUAZIONE. Non sei tu il soggetto direttamente notificato o registrato come soggetto essenziale, importante o incluso nel Perimetro: sei un fornitore, spesso una piccola impresa di sviluppo, hosting o consulenza IT, che lavora “a valle” per un cliente che è invece pienamente soggetto alla disciplina NIS2 o PSNC. Ricevi ora una richiesta di chiarimenti o una vera e propria comunicazione di irregolarità perché il tuo cliente, in sede di gestione della catena di approvvigionamento (supply chain), ti ha indicato all’Autorità come possibile fonte o concausa dell’incidente.

COSA CAMBIA PER TE. Formalmente, se non rientri tu stesso nei parametri dimensionali e settoriali NIS2 o PSNC, non sei destinatario diretto degli obblighi di registrazione e notifica: l’obbligo grava sul tuo cliente. Tuttavia, l’articolo 21 della Direttiva NIS2 impone ai soggetti essenziali e importanti di gestire la sicurezza della catena di approvvigionamento, il che si traduce concretamente in contratti che scaricano sui fornitori obblighi di sicurezza specifici, clausole di audit e, spesso, clausole di manleva. Il rischio per te non nasce dalla normativa pubblicistica, ma dal contratto: è lì che si gioca la partita difensiva.

I NUMERI. Ipotizziamo un fornitore IT che gestisce l’infrastruttura cloud di un cliente soggetto essenziale, con un contratto che prevede una penale contrattuale di 50.000 € in caso di violazione delle misure di sicurezza concordate, oltre all’obbligo di manleva per le sanzioni regolatorie subite dal cliente in conseguenza dell’incidente. Se la sanzione irrogata al cliente ammonta a 300.000 €, e il contratto prevede la manleva integrale, il fornitore rischia di rispondere per un importo enormemente superiore al valore stesso della fornitura originaria, a meno che non dimostri l’assenza di nesso causale tra la propria prestazione e l’incidente contestato.

I RISCHI SPECIFICI. Il rischio più frequente per il fornitore della filiera è la responsabilità contrattuale a cascata sproporzionata, spesso derivante da clausole di manleva sottoscritte senza un’adeguata valutazione del rischio al momento della negoziazione del contratto. Un secondo rischio è quello di essere coinvolto in un’istruttoria dell’Autorità come “soggetto informato sui fatti” senza essere adeguatamente assistito, con dichiarazioni rese informalmente che vengono poi utilizzate contro l’impresa in sede contrattuale dal cliente stesso.

LE MOSSE GIUSTE.

1. Verifica innanzitutto se sei davvero fuori dal perimetro soggettivo NIS2/PSNC oppure se, per dimensione e attività, rientri anch’io tra i soggetti importanti: molti fornitori IT lo scoprono solo in questa fase.
2. Analizza il contratto con il cliente per individuare esattamente la portata delle clausole di sicurezza, audit e manleva sottoscritte, prima di rispondere a qualunque richiesta di chiarimenti proveniente dall’Autorità o dal cliente stesso.
3. Non rendere dichiarazioni all’Autorità o al cliente senza assistenza legale, anche quando la richiesta appare informale o “di cortesia”.
4. Ricostruisci con precisione tecnica il perimetro della propria prestazione, per delimitare con chiarezza dove finisce la responsabilità del fornitore e dove inizia quella del cliente nella gestione complessiva della sicurezza.
5. Valuta, se il contratto lo consente, l’attivazione di una trattativa preventiva con il cliente per ridefinire la ripartizione del rischio prima che la sanzione regolatoria diventi definitiva.

GIURISPRUDENZA DEDICATA. Sul tema della necessaria prova concreta, e non presunta, del nesso tra condotta contestata e violazione accertata nei procedimenti sanzionatori delle autorità indipendenti, si veda Cass. civ., Sez. II, 26 gennaio 2021, n. 1602, in materia di sanzioni Consob, che ribadisce come la violazione del contraddittorio debba tradursi in una lesione concreta ed effettiva del diritto di difesa per essere rilevante, principio che orienta anche la valutazione delle responsabilità “indirette” nella filiera dei fornitori.

5. L’amministratore e l’organo di vertice

LA TUA SITUAZIONE. Non sei l’impresa in quanto tale, ma la persona fisica che la amministra: amministratore delegato, membro del consiglio di amministrazione, responsabile della sicurezza informatica con deleghe operative. Ricevi, insieme o separatamente rispetto alla contestazione verso la società, una comunicazione che richiama la tua responsabilità personale per omessa supervisione dell’implementazione delle misure di sicurezza.

COSA CAMBIA PER TE. La normativa NIS2, a differenza di molte discipline sanzionatorie previgenti, individua espressamente la responsabilità degli organi di amministrazione e direzione, imponendo loro l’obbligo di approvare le misure di gestione del rischio, di sovrintendere alla loro attuazione e di seguire una formazione specifica in materia di cybersicurezza. La violazione di questi obblighi può tradursi in responsabilità personale, distinta (anche se spesso connessa) da quella della società, e può incidere anche sulla valutazione di adeguatezza organizzativa complessiva richiesta all’impresa.

I NUMERI. Ipotizziamo un amministratore che non ha mai seguito la formazione specifica richiesta e che, in sede di ispezione, non è in grado di dimostrare di aver approvato formalmente il piano di gestione del rischio previsto dall’articolo 21: questa carenza, pur non generando automaticamente una sanzione pecuniaria personale distinta in ogni fattispecie, viene tipicamente valorizzata dall’Autorità come elemento aggravante nella determinazione della sanzione a carico della società, potendo incidere per una percentuale significativa sull’importo finale rispetto a un caso in cui la formazione e l’approvazione risultino documentate.

I RISCHI SPECIFICI. Il rischio più rilevante per l’amministratore è la sovrapposizione tra responsabilità regolatoria e responsabilità societaria: una contestazione di negligenza grave nella supervisione della sicurezza informatica può essere utilizzata, in parallelo, come base per un’azione di responsabilità da parte della società stessa o dei soci, specie in presenza di un danno patrimoniale conseguente alla sanzione irrogata. Un secondo rischio, per gli organi di vertice di imprese di cybersecurity in particolare, è quello reputazionale: essere personalmente richiamati per carenze di sicurezza informatica, nel proprio stesso settore di attività, ha un impatto sul mercato difficilmente equiparabile ad altri ambiti.

LE MOSSE GIUSTE.

1. Verifica se e come sei stato individualmente destinatario dell’atto, distinguendo la tua posizione personale da quella della società nella risposta da predisporre.
2. Ricostruisci la documentazione relativa alla formazione ricevuta e all’approvazione formale del piano di gestione del rischio, elementi che l’Autorità considera nella valutazione della diligenza degli organi di vertice.
3. Valuta, con l’assistenza dello Studio, se la tua posizione personale richiede una linea difensiva autonoma rispetto a quella della società, specie quando gli interessi non sono pienamente coincidenti.
4. Verifica la copertura assicurativa D&O (Directors and Officers) eventualmente in essere, per l’eventuale copertura delle spese legali e delle conseguenze patrimoniali.
5. Non sottovalutare la fase preventiva: una formazione documentata e un’approvazione formale tempestiva del piano di sicurezza restano la difesa più efficace anche per il futuro, indipendentemente dall’esito del procedimento in corso.

GIURISPRUDENZA DEDICATA. Sul principio secondo cui la responsabilità personale degli organi di vertice per omessa vigilanza organizzativa deve fondarsi su una negligenza specifica e provata, e non su una responsabilità automatica di posizione, orientano per analogia le pronunce in materia di sanzioni Banca d’Italia e Consob verso esponenti aziendali (tra queste, Cass. civ., 13 novembre 2013, n. 27038, in tema di sanzioni Banca d’Italia), che richiedono comunque l’accertamento di una condotta concretamente colposa dell’esponente aziendale, e non la mera qualifica formale ricoperta.

Tre comunicazioni, tre esiti

Per capire davvero quanto cambiano gli scenari a seconda del profilo, seguiamo lo stesso incidente — un data breach su un’infrastruttura cloud gestita — applicato a tre imprese diverse.

Caso A — Soggetto essenziale, fatturato 68.000.000 €. L’incidente non viene notificato entro le 24 ore previste per la preallerta, ma solo dopo 96 ore, quando ormai il cliente finale ha segnalato l’anomalia. L’Autorità contesta la violazione dell’obbligo di notifica tempestiva. Applicando il 2% del fatturato, la sanzione teorica massima si attesterebbe intorno a 1.360.000 €; tenuto conto delle circostanze attenuanti documentate (misure correttive immediate, assenza di danni concreti a terzi, primo precedente), l’impresa può ragionevolmente puntare, in sede di controdeduzioni, a una riduzione sostanziale rispetto al massimo edittale teorico.

Caso B — Soggetto importante, fatturato 4.500.000 €. Lo stesso tipo di incidente, la stessa impresa scoperta non registrata sul portale ACN al momento del controllo. Qui la contestazione si aggrava perché alla carenza sulla notifica dell’incidente si somma la violazione autonoma dell’obbligo di registrazione. L’1,4% del fatturato equivarrebbe a circa 63.000 €, ma la duplicità delle violazioni contestate (mancata registrazione più mancata notifica) espone a una valutazione complessiva più severa, mitigabile solo con una regolarizzazione immediata e documentata.

Caso C — Fornitore della filiera, nessun obbligo diretto NIS2. Lo stesso incidente si verifica sull’infrastruttura del fornitore, che gestisce il cloud per conto di un cliente soggetto essenziale. Il fornitore non riceve alcuna sanzione regolatoria diretta, ma il contratto con il cliente prevede una clausola di manleva integrale per le sanzioni regolatorie subite dal cliente in conseguenza di violazioni imputabili al fornitore: se il cliente viene sanzionato per 400.000 €, e il nesso causale con la prestazione del fornitore viene accertato, il fornitore rischia di dover rispondere dell’intero importo in sede contrattuale, un esito potenzialmente più gravoso, in proporzione, di quello subito direttamente dal cliente.

I casi misti

Non tutte le imprese di cybersecurity rientrano in un unico profilo. I casi più frequenti di sovrapposizione:

L’impresa soggetto essenziale NIS2 e insieme fornitrice PSNC. Una società di managed security services può essere al tempo stesso soggetto essenziale per dimensione e settore, e fornitrice di beni ICT strategici a un cliente incluso nel Perimetro. In questo caso le due discipline si applicano cumulativamente e in modo autonomo: una medesima carenza tecnica può generare due procedimenti paralleli, con termini e uffici istruttori distinti, richiedendo una strategia difensiva coordinata ma non identica nei due procedimenti.

Il fornitore che scopre di essere soggetto importante durante la contestazione al proprio cliente. Capita spesso che un fornitore IT, coinvolto in un’istruttoria come possibile concausa dell’incidente subito dal cliente, scopra proprio in quella sede di rientrare esso stesso tra i soggetti importanti NIS2, non essendosi mai registrato. In questo caso la posizione difensiva si sdoppia: da un lato la responsabilità contrattuale verso il cliente, dall’altro una possibile autonoma esposizione regolatoria diretta, da gestire con priorità perché portatrice di termini procedimentali propri.

L’amministratore che è anche socio di controllo. Quando la persona fisica destinataria del richiamo personale è anche il socio di maggioranza o unico dell’impresa, la distinzione tra responsabilità personale e responsabilità societaria si assottiglia nella sostanza economica, pur restando distinta sul piano giuridico: la sanzione alla società incide comunque, indirettamente, sul patrimonio personale attraverso la perdita di valore della partecipazione, un elemento che va tenuto presente nella valutazione strategica complessiva, specie quando la sanzione rischia di aprire un percorso di tensione finanziaria per l’impresa.

Il confronto tra profili

I profili non condividono né i tetti sanzionatori, né i termini di reazione tipici, né i rischi prevalenti. La tabella seguente riepiloga gli aspetti chiave.

Le domande trasversali

Cosa succede se ricevo la comunicazione ma non sono affatto sicuro di rientrare tra i soggetti NIS2? La verifica del proprio status va condotta subito e con priorità assoluta, perché la contestazione di mancata registrazione si somma spesso a quella sostanziale, aggravando la posizione complessiva; nel dubbio, è sempre preferibile una verifica formale piuttosto che un’autoesclusione presunta.

Posso rispondere da solo alla richiesta di chiarimenti, senza assistenza legale? È tecnicamente possibile, ma sconsigliato: le dichiarazioni rese in questa fase, anche se apparentemente tecniche e neutre, diventano parte del fascicolo istruttorio e possono essere usate contro l’impresa nella fase successiva, incluso un eventuale procedimento parallelo (penale, contrattuale, di responsabilità degli amministratori).

Cosa succede se cambio profilo durante il procedimento (ad esempio supero le soglie dimensionali)? La qualificazione soggettiva rilevante è normalmente quella riferita al momento dei fatti contestati; un mutamento successivo di dimensione non retroagisce sulla violazione già contestata, ma può incidere sugli obblighi futuri dell’impresa.

Devo temere conseguenze penali da una comunicazione di irregolarità NIS2 “semplice”? Nella generalità dei casi NIS2 la natura è amministrativa; il rischio penale diventa concreto soprattutto nell’ambito PSNC, in presenza di dichiarazioni non veritiere sui beni ICT strategici, motivo per cui in questi casi la valutazione integrata con un difensore penalista va condotta fin dalle prime battute.

Posso negoziare con l’Autorità prima del provvedimento finale? Il procedimento non prevede una negoziazione in senso tecnico, ma le memorie difensive e l’eventuale audizione sono la sede in cui, di fatto, si costruisce la base per una graduazione della sanzione più favorevole, specie quando accompagnate da un piano di conformità credibile e documentato.

La giurisprudenza profilo per profilo

Per i soggetti essenziali e importanti NIS2. Sul principio secondo cui il rispetto dei termini procedimentali distingue la fase istruttoria da quella sanzionatoria vera e propria, con conseguenze sulla legittimità del provvedimento finale, rileva Cass. civ., Sez. I, 8 luglio 2025, n. 18583 (Garante Privacy/Enel Energia). Nello stesso solco si colloca la sentenza della Cassazione del 16 dicembre 2025, che ha ribadito la natura perentoria dei termini entro cui l’autorità di controllo deve adottare il provvedimento conclusivo del procedimento sanzionatorio, principio applicabile per analogia anche ai procedimenti ACN. Sul medesimo tema, la sentenza del Tribunale di Roma n. 14569/2024 ha annullato una sanzione del Garante Privacy proprio per il superamento del termine di conclusione del procedimento, confermando che il potere sanzionatorio si consuma se non esercitato nei tempi previsti.

Sul contraddittorio nei procedimenti sanzionatori delle autorità indipendenti. Le Sezioni Unite della Cassazione (sentenze gemelle nn. 20935-20939 del 2009) hanno fissato il principio secondo cui la violazione del contraddittorio procedimentale rileva solo se si traduce in una lesione concreta ed effettiva del diritto di difesa, principio più volte confermato (Cass. civ., Sez. II, 26 gennaio 2021, n. 1602, in materia Consob; Cass. 13 novembre 2013, n. 27038, in materia Banca d’Italia; Cass. 2015, n. 24048, in materia Consob), e pienamente applicabile alla valutazione dei procedimenti ACN.

Sulla separazione tra funzioni istruttorie e decisorie. Il Consiglio di Stato (Sez. VI, 26 marzo 2015, n. 1595, sul procedimento sanzionatorio Consob) ha chiarito che, pur non essendo richieste nella fase procedimentale garanzie equiparabili a quelle del processo giurisdizionale, le deduzioni difensive presentate devono essere effettivamente considerate dall’organo decisorio, un principio di garanzia sostanziale utile anche nella costruzione delle memorie difensive verso l’ACN.

Sulla ragionevolezza dei termini di avvio del procedimento. Il Consiglio di Stato, con ordinanza di rinvio pregiudiziale alla Corte di Giustizia dell’Unione Europea in materia di sanzioni antitrust, ha richiamato il principio, già affermato dalla Corte di Giustizia il 30 gennaio 2025 (cause riunite C-310 e C-311/2023), secondo cui la ragionevolezza del termine per l’avvio dell’azione sanzionatoria va valutata caso per caso, tenendo conto anche della concreta possibilità per l’impresa di difendersi: un criterio interpretativo che rafforza le difese fondate sul ritardo nell’apertura dell’istruttoria.

Sulla natura sostanzialmente afflittiva delle sanzioni delle autorità indipendenti. È stato osservato in dottrina e giurisprudenza amministrativa che le sanzioni irrogate dalle autorità indipendenti, pur formalmente amministrative, assumono connotati sostanzialmente punitivi quando superano soglie economiche rilevanti e incidono sulla reputazione del soggetto sanzionato, richiamando l’applicazione delle garanzie elaborate dalla Corte Europea dei Diritti dell’Uomo (Grande Camera, sentenza Grande Stevens c. Italia, 4 marzo 2014) in tema di procedimenti sanzionatori a carattere sostanzialmente penale.

Sulla proporzionalità delle misure di sicurezza rispetto al rischio concreto. La Corte di Giustizia dell’Unione Europea, con sentenza del 14 dicembre 2023 (causa C-340/21), ha chiarito che l’adeguatezza delle misure tecniche e organizzative va valutata in concreto rispetto al rischio specifico dell’attività svolta, principio ripreso nei provvedimenti del Garante Privacy relativi alle violazioni dell’articolo 32 GDPR e pienamente estendibile alla valutazione delle misure ex articolo 21 della Direttiva NIS2.

Sulla mancata notifica dell’atto presupposto. Le Sezioni Unite della Cassazione (sentenza n. 22080/2017) hanno stabilito che la mancata notifica rituale dell’atto presupposto impedisce la formazione di un valido titolo esecutivo e consente al destinatario di sollevare ogni eccezione relativa sia ai profili formali sia al merito della pretesa sanzionatoria, principio ribadito da Cass., Sez. Lav., ord. 27 marzo 2025, n. 8157, e da Cass. n. 23252/2024, secondo cui il verbale ispettivo, da solo, non costituisce titolo esecutivo idoneo.

Sulla responsabilità personale degli esponenti aziendali. In tema di sanzioni verso amministratori ed esponenti di società vigilate, la giurisprudenza (Cass. n. 27038/2013, Banca d’Italia) richiede l’accertamento di una condotta concretamente colposa e non la mera responsabilità di posizione, principio direttamente rilevante per la posizione degli organi di vertice delle imprese di cybersecurity oggi espressamente richiamati dalla normativa NIS2.

Cosa può fare lo Studio Monardo

Di fronte a una comunicazione di irregolarità in materia di cybersicurezza, lo Studio Monardo mette a disposizione un percorso di analisi e difesa strutturato, calibrato sul profilo specifico dell’impresa coinvolta:

1. Qualifichiamo esattamente l’atto ricevuto (richiesta istruttoria, verbale di accertamento, contestazione formale, ordine di conformarsi), individuando i termini procedimentali effettivamente decorrenti e le conseguenze del loro mancato rispetto da parte dell’Autorità.
2. Verifichiamo lo status soggettivo dell’impresa rispetto ai parametri NIS2 e PSNC, per i fornitori della filiera che dubitano della propria collocazione, prima ancora di predisporre qualunque risposta all’Autorità o al cliente.
3. Ricostruiamo la cronologia documentale della vicenda, incrociando log tecnici, policy interne, verbali di formazione degli organi di vertice e precedenti audit, per individuare ogni elemento utile a dimostrare diligenza.
4. Predisponiamo le memorie difensive sull’an e, in subordine, sul quantum della sanzione, valorizzando le misure correttive già adottate e la proporzionalità rispetto alle dimensioni dell’impresa.
5. Analizziamo le clausole contrattuali di sicurezza, audit e manleva per i fornitori della filiera, delimitando con precisione la responsabilità effettivamente esigibile rispetto a quella presunta dal cliente.
6. Distinguiamo il profilo amministrativo da quello eventualmente penale, specifico dei procedimenti PSNC, coordinando la strategia difensiva con i profili di responsabilità personale degli amministratori.
7. Assistiamo gli organi di vertice nella predisposizione della documentazione relativa a formazione e approvazione dei piani di gestione del rischio, elementi centrali nella valutazione di diligenza richiesta dalla normativa.
8. Costruiamo, quando utile, un piano di conformità formalizzato da presentare in sede procedimentale, utile sia per la graduazione della sanzione sia come prova di buona fede in un’eventuale fase di opposizione giudiziale.
9. Coordiniamo l’eventuale opposizione al provvedimento finale davanti al giudice competente, mantenendo continuità di strategia rispetto alla fase procedimentale già seguita.
10. Valutiamo l’impatto finanziario complessivo della vicenda sull’impresa, quando la sanzione rischia di sommarsi a tensioni di liquidità preesistenti o di innescarne di nuove.

L’Avv. Giuseppe Angelo Monardo è avvocato cassazionista; coordinatore di uno staff multidisciplinare operante a livello nazionale in diritto bancario e tributario; Gestore della crisi da sovraindebitamento (L. 3/2012) iscritto negli elenchi del Ministero della Giustizia; professionista fiduciario di un OCC (Organismo di Composizione della Crisi); Esperto Negoziatore della crisi d’impresa ai sensi del D.L. 118/2021.

Proprio l’abilitazione di Esperto Negoziatore della crisi d’impresa assume un rilievo centrale quando la sanzione contestata, per il suo importo, rischia di mettere sotto pressione la sostenibilità finanziaria dell’impresa: in questi casi la difesa contro la comunicazione di irregolarità non può essere condotta isolatamente, ma va coordinata con una valutazione tempestiva della tenuta patrimoniale complessiva, per evitare che la vicenda regolatoria si trasformi in una crisi d’impresa vera e propria. La continuità della strategia difensiva, dalla fase procedimentale fino all’eventuale giudizio di legittimità davanti alla Corte di Cassazione, resta il valore aggiunto di un difensore che segue la vicenda dall’inizio alla fine, senza soluzione di continuità tra i vari gradi. Lo staff multidisciplinare composto da avvocati e commercialisti lavora congiuntamente sullo stesso fascicolo, per affiancare all’analisi giuridica una lettura tecnico-contabile dell’impatto economico della sanzione.

Il procedimento passo dopo passo: termini e vie di ricorso

Comprendere la sequenza esatta del procedimento aiuta a capire, in ogni fase, cosa si può ancora fare e cosa invece rischia di essere già precluso. Anche se la disciplina NIS2 e quella PSNC non condividono un unico testo procedurale, entrambe si muovono, nella prassi applicativa finora osservata, secondo uno schema comune a tutti i procedimenti sanzionatori amministrativi italiani, dalla cui logica conviene partire per orientarsi.

Fase 1 — L’avvio dell’istruttoria. Il procedimento può aprirsi in tre modi: a seguito di un’ispezione programmata o a sorpresa (più frequente per i soggetti essenziali e per i soggetti PSNC), a seguito della ricezione di una notifica di incidente ritenuta carente o tardiva, oppure a seguito di una segnalazione proveniente da terzi, incluso un cliente che imputa all’impresa la responsabilità di un incidente subito. In questa fase l’Autorità può richiedere documentazione, chiarimenti scritti o un sopralluogo tecnico. È già in questa fase, e non solo dopo la contestazione formale, che conviene attivare l’assistenza legale: le risposte fornite in sede istruttoria diventano parte del fascicolo e sono difficilmente emendabili in seguito.

Fase 2 — La contestazione degli addebiti. Se l’istruttoria rileva elementi di non conformità, l’Autorità formalizza la contestazione, indicando le violazioni rilevate, le norme di riferimento e il termine entro cui l’impresa può presentare controdeduzioni scritte e documenti. Questo termine va individuato con precisione nell’atto ricevuto: in assenza di indicazione specifica, si applicano i termini generali dei procedimenti amministrativi, ma la prassi dei procedimenti sanzionatori delle autorità indipendenti mostra termini tipicamente compresi tra 30 e 60 giorni. Il mancato rispetto del termine da parte dell’impresa non preclude sempre la difesa nel merito, ma indebolisce sensibilmente la posizione processuale successiva.

Fase 3 — Le memorie difensive e l’eventuale audizione. Le controdeduzioni scritte sono il momento in cui si costruisce, punto per punto, la difesa sull’an (contestando l’esistenza stessa della violazione, quando sostenibile) e, in subordine, sul quantum (chiedendo una graduazione più favorevole della sanzione, valorizzando le circostanze attenuanti). Quando il regolamento procedimentale applicabile lo prevede, è possibile richiedere un’audizione personale, utile soprattutto quando la vicenda tecnica è complessa e una spiegazione diretta agli uffici istruttori può chiarire elementi che, sulla sola carta, rischiano di essere fraintesi.

Fase 4 — Il provvedimento finale. L’Autorità adotta il provvedimento conclusivo, che può assumere forme diverse: archiviazione, ordine di conformarsi entro un termine, sanzione pecuniaria, oppure una combinazione di questi elementi. Il provvedimento deve essere motivato, dando conto delle difese presentate dall’impresa: l’assenza di motivazione su elementi difensivi rilevanti è, essa stessa, un possibile motivo di impugnazione.

Fase 5 — L’opposizione davanti al giudice. Il provvedimento sanzionatorio finale è impugnabile davanti al giudice competente entro un termine perentorio, tipicamente di 30 giorni dalla notifica, secondo lo schema generale che governa l’opposizione alle sanzioni amministrative in Italia. In questa fase è possibile contestare sia i profili formali del procedimento (rispetto dei termini, correttezza del contraddittorio, motivazione) sia il merito della violazione contestata e la proporzionalità della sanzione irrogata. La continuità tra la strategia difensiva procedimentale e quella giudiziale è decisiva: gli elementi già introdotti nelle memorie difensive costituiscono la base argomentativa su cui si innesta l’eventuale ricorso, ed è raro che una strategia costruita solo all’ultimo momento, dopo il provvedimento, riesca a recuperare margini che la fase procedimentale non aveva già preparato.

Fase 6 — Appello e Cassazione. Come per ogni procedimento sanzionatorio amministrativo di rilievo, anche in questa materia il giudizio di primo grado non è l’ultima parola: la decisione può essere impugnata in appello e, per i soli motivi di legittimità, davanti alla Corte di Cassazione. È proprio in questa prospettiva di lungo periodo, dalla prima risposta all’Autorità fino all’eventuale giudizio di legittimità, che la continuità difensiva assume il suo pieno valore: cambiare strategia o difensore a metà percorso comporta quasi sempre una perdita di coerenza argomentativa che il giudice successivo percepisce, e che indebolisce la credibilità complessiva della linea difensiva.

Approfondimenti per profilo: cosa verificare prima di rispondere

Oltre alle mosse giuste già indicate per ciascun profilo, ecco gli elementi documentali specifici da raccogliere prima ancora di predisporre qualunque risposta formale all’Autorità.

Per il soggetto essenziale. Prima di rispondere, verifica: la data esatta di rilevazione tecnica dell’incidente rispetto alla data di notifica effettiva, perché è su questo scarto temporale che si gioca la contestazione di tardività; l’esistenza di un registro interno degli incidenti minori, che dimostra una prassi organizzativa consolidata anche per eventi non ancora qualificati come “significativi”; la presenza di un piano di gestione del rischio formalmente approvato dall’organo di amministrazione, con data certa anteriore ai fatti contestati; gli esiti di eventuali audit di sicurezza già condotti nei dodici mesi precedenti, anche se non richiesti dall’Autorità, perché costituiscono prova di diligenza organizzativa continuativa e non episodica.

Per il soggetto importante. Prima di rispondere, verifica: se la mancata registrazione sul portale ACN, quando contestata, sia dovuta a un errore interpretativo sui parametri dimensionali o settoriali, elemento che incide sulla graduazione della sanzione distinguendo la negligenza dalla buona fede; se esistano precedenti comunicazioni, anche informali, con l’Autorità o con associazioni di categoria, che dimostrino un tentativo di chiarire la propria posizione prima della contestazione; l’effettiva esistenza di misure tecniche adeguate anche in assenza di formalizzazione documentale, perché in questo caso la strategia difensiva più efficace consiste nel colmare rapidamente la carenza documentale prima della scadenza del termine di controdeduzioni, piuttosto che limitarsi a contestare l’atto.

Per il soggetto incluso nel Perimetro di Sicurezza Nazionale Cibernetica. Prima di rispondere, verifica: se la fornitura contestata rientra effettivamente tra i beni ICT destinati ad asset strategici secondo la qualificazione data dal cliente, perché non sempre la qualificazione operata dal cliente coincide con quella tecnica corretta; la tracciabilità documentale di tutte le comunicazioni preventive effettuate in passato per forniture analoghe, utile a dimostrare una prassi di conformità consolidata; l’esistenza di clausole contrattuali che disciplinano la ripartizione degli oneri di comunicazione preventiva tra fornitore e cliente, spesso decisiva per stabilire su chi gravasse realmente l’adempimento contestato.

Per il fornitore della filiera. Prima di rispondere, verifica: il perimetro esatto della prestazione contrattualizzata, distinguendo con precisione tecnica cosa rientrava nella responsabilità del fornitore e cosa restava in capo al cliente nella gestione complessiva della sicurezza; l’esistenza di clausole di limitazione di responsabilità o di tetti massimi di responsabilità contrattuale, che possono ridimensionare sensibilmente l’esposizione anche in presenza di una clausola di manleva; la cronologia degli scambi tecnici con il cliente nelle settimane precedenti l’incidente, spesso decisiva per stabilire se il cliente fosse già stato avvisato di vulnerabilità note e non avesse agito di conseguenza, elemento che può spostare la responsabilità sostanziale verso il cliente stesso.

Per l’amministratore e l’organo di vertice. Prima di rispondere, verifica: i verbali del consiglio di amministrazione o delle riunioni degli organi di vertice relativi all’approvazione delle misure di gestione del rischio, con data certa; gli attestati di formazione specifica in materia di cybersicurezza effettivamente seguiti, e la loro corrispondenza temporale rispetto agli obblighi normativi vigenti al momento dei fatti; l’esistenza di deleghe operative specifiche a un responsabile della sicurezza informatica, che può incidere sulla ripartizione interna delle responsabilità tra organo di vertice e struttura tecnica delegata; la polizza assicurativa D&O in essere, verificandone tempestivamente i massimali e le eventuali esclusioni applicabili al caso concreto.

Altre domande frequenti

Se regolarizzo spontaneamente prima che l’Autorità apra formalmente l’istruttoria, evito comunque la sanzione? La regolarizzazione spontanea, quando intervenuta prima dell’apertura del procedimento sanzionatorio, viene tipicamente valorizzata come elemento di attenuazione, ma non garantisce automaticamente l’archiviazione, specie se la violazione ha già prodotto conseguenze concrete verso terzi; resta comunque la mossa preventiva più efficace a disposizione dell’impresa.

La comunicazione di irregolarità ricevuta è pubblica? Il provvedimento sanzionatorio finale può essere reso pubblico dall’Autorità nei casi più gravi, mentre gli atti della fase istruttoria e le memorie difensive restano normalmente riservati al procedimento; per questo la strategia difensiva dovrebbe sempre considerare anche l’impatto reputazionale della fase finale, non solo l’esito strettamente sanzionatorio.

Posso essere sanzionato per un incidente causato da un attacco esterno, se ho adottato tutte le misure ragionevoli? La normativa non impone un obbligo di risultato assoluto, ma un obbligo di mezzi adeguati al rischio concreto dell’attività svolta: dimostrare di aver adottato misure tecniche e organizzative proporzionate, anche se l’incidente si è comunque verificato, è la difesa di merito più solida a disposizione dell’impresa, ed è coerente con l’impostazione seguita dalla giurisprudenza europea in materia di adeguatezza delle misure di sicurezza.

Gli errori più costosi da evitare

Al di là delle mosse giuste già indicate profilo per profilo, l’esperienza sui procedimenti sanzionatori amministrativi analoghi (Garante Privacy, Consob, Banca d’Italia) permette di individuare alcuni errori ricorrenti che aggravano sistematicamente la posizione dell’impresa, indipendentemente dal profilo di appartenenza.

Rispondere in modo generico o difensivo senza affrontare il merito tecnico. Molte imprese, di fronte alla prima comunicazione di irregolarità, reagiscono con una risposta interlocutoria che si limita a dichiarare l’intenzione di adeguarsi, senza affrontare puntualmente ciascuna contestazione tecnica mossa dall’Autorità. Questo approccio, comprensibile nell’urgenza del momento, priva l’impresa della possibilità di incidere sulla qualificazione stessa dei fatti nella fase in cui è ancora possibile farlo, costringendola poi a giocare tutte le proprie carte solo nell’eventuale fase di opposizione giudiziale, quando il margine di manovra è già più ristretto.

Lasciare che sia il reparto tecnico a gestire da solo la risposta all’Autorità. La componente tecnica è naturalmente centrale in questa materia, ma una risposta scritta esclusivamente dal responsabile IT o dal Chief Information Security Officer, senza una verifica legale della sua formulazione, rischia di introdurre ammissioni indirette di responsabilità che un giudizio tecnico neutro non avrebbe reso necessarie. La collaborazione tra competenza tecnica e competenza giuridica, fin dalla prima bozza di risposta, è quasi sempre la differenza tra una difesa efficace e una difesa che si autolimita.

Sottovalutare l’impatto delle comunicazioni interne come prova. E-mail interne, verbali di riunione, messaggistica aziendale relativa alla gestione dell’incidente possono diventare, in sede di accertamento, elementi di prova sia a favore sia contro l’impresa. Una gestione disordinata della comunicazione interna nelle ore immediatamente successive alla scoperta di un incidente espone al rischio che dichiarazioni informali, magari premature o imprecise, vengano poi utilizzate come ammissione di responsabilità in sede procedimentale.

Ignorare la dimensione contrattuale quando si è fornitori. Per i fornitori della filiera cyber, l’errore più frequente è concentrare tutta l’attenzione difensiva sulla dimensione regolatoria, trascurando che il vero rischio economico si annida spesso nelle clausole contrattuali con il cliente. Una difesa che trascuri l’analisi contrattuale rischia di vincere, per assurdo, sul piano regolatorio pur perdendo pesantemente sul piano economico contrattuale.

Non coordinare la difesa quando più soggetti sono coinvolti. Nei casi in cui la contestazione riguarda contemporaneamente la società e uno o più amministratori, o coinvolge sia il soggetto obbligato sia un suo fornitore, la mancanza di coordinamento tra le diverse linee difensive produce spesso argomentazioni contraddittorie tra loro, che indeboliscono la credibilità complessiva della posizione difensiva agli occhi dell’Autorità e, in seguito, del giudice.

Un quarto scenario: la recidiva

Alle tre simulazioni già illustrate se ne può aggiungere una quarta, particolarmente istruttiva perché riguarda un’impresa già sanzionata in passato.

Caso D — Soggetto importante con precedente sanzione. Un’impresa di sicurezza gestita, già sanzionata diciotto mesi prima per una tardiva notifica di incidente con una sanzione di 18.000 €, riceve una nuova comunicazione di irregolarità per una carenza analoga. In questo scenario, la recidiva diventa l’elemento centrale della valutazione dell’Autorità: a parità di violazione tecnica, la sanzione applicabile alla seconda contestazione tende a essere significativamente più elevata rispetto alla prima, proprio perché l’impresa aveva già ricevuto un richiamo puntuale e non ha evidentemente introdotto correttivi strutturali sufficienti. In questi casi, la strategia difensiva più efficace non consiste tanto nel minimizzare la seconda violazione, quanto nel documentare in modo estremamente puntuale quali correttivi specifici siano stati introdotti dopo la prima sanzione, e perché la nuova violazione derivi da una causa diversa e non prevedibile rispetto a quella già sanzionata: distinguere nettamente le due vicende tecniche, quando possibile, è l’unico modo per contenere l’aggravamento quasi automatico che la recidiva altrimenti comporta.

Il ruolo della polizza assicurativa cyber

Un elemento spesso trascurato nella gestione di una comunicazione di irregolarità è la presenza di una polizza assicurativa cyber risk, sempre più diffusa tra le imprese di cybersecurity proprio in ragione della loro esposizione specifica. Queste polizze normalmente coprono, con massimali ed esclusioni molto variabili da contratto a contratto, le spese legali sostenute per la difesa in procedimenti regolatori, e talvolta anche una quota delle sanzioni pecuniarie irrogate, nei limiti in cui la normativa applicabile consenta l’assicurabilità delle sanzioni amministrative. Verificare tempestivamente i termini della polizza, e in particolare gli obblighi di comunicazione del sinistro all’assicuratore entro termini spesso molto brevi, è un passaggio che va condotto in parallelo alla predisposizione delle memorie difensive, perché il mancato rispetto dei termini di comunicazione alla compagnia assicurativa può far perdere il diritto alla copertura indipendentemente dall’esito del procedimento con l’Autorità. Questo vale sia per la polizza cyber risk della società, sia per l’eventuale polizza D&O a copertura della responsabilità personale degli amministratori, quando la contestazione li coinvolge direttamente.

La dimensione temporale: perché muoversi subito conviene

In tutti i profili analizzati, un filo conduttore emerge con chiarezza: il tempo lavora quasi sempre a sfavore di chi non agisce. Ogni giorno che passa tra la ricezione della comunicazione di irregolarità e l’attivazione di una strategia difensiva strutturata riduce il margine concreto di intervento, per almeno tre ragioni pratiche.

La prima riguarda i termini procedimentali stessi: la maggior parte delle finestre difensive previste (presentazione di controdeduzioni, richiesta di audizione, produzione documentale integrativa) sono termini perentori o comunque strettamente scanditi, e una parte significativa del tempo a disposizione viene spesso consumata solo nella fase di comprensione interna della vicenda, se non si dispone fin da subito di un supporto legale che guidi la raccolta documentale nella direzione corretta.

La seconda riguarda la genuinità della ricostruzione probatoria: più tempo passa dai fatti contestati, più diventa difficile ricostruire con precisione la cronologia tecnica dell’incidente, reperire log non ancora sovrascritti dai sistemi, raccogliere testimonianze coerenti del personale coinvolto. Una ricostruzione tempestiva, condotta nelle prime settimane, è quasi sempre più solida e più credibile di una ricostruzione tardiva.

La terza riguarda la percezione stessa dell’Autorità: un’impresa che dimostra reattività, correttezza procedurale e volontà di adeguamento fin dalle prime battute del procedimento riceve, nella prassi osservata sui procedimenti sanzionatori analoghi, una valutazione complessiva più favorevole rispetto a un’impresa che appare, anche solo per inerzia organizzativa, disinteressata o elusiva rispetto alla vicenda contestata.

La comunicazione verso clienti e mercato durante il procedimento

Un aspetto che riguarda in modo trasversale tutti i profili, ma che assume un rilievo particolare per un’impresa di cybersecurity, è la gestione della comunicazione verso clienti, partner e mercato mentre il procedimento è ancora in corso. Un’impresa che vende sicurezza informatica come proprio prodotto o servizio subisce, in caso di irregolarità resa pubblica o anche solo trapelata, un danno reputazionale spesso sproporzionato rispetto all’effettiva gravità tecnica della violazione contestata, proprio perché il mercato di riferimento tende a valutare con particolare severità le carenze di sicurezza in chi promette sicurezza ad altri.

La tentazione più diffusa, e più rischiosa, è quella del silenzio totale verso i clienti, nella speranza che la vicenda non emerga. Quando la comunicazione di irregolarità nasce da una segnalazione di un cliente, o quando il procedimento coinvolge una fornitura in essere, il silenzio prolungato rischia di essere percepito, una volta scoperto, come un ulteriore elemento di scorrettezza che si somma alla violazione originaria, aggravando sia il rapporto commerciale sia, indirettamente, la posizione dell’impresa nell’eventuale valutazione di buona fede condotta dall’Autorità.

La strategia comunicativa corretta, quando necessaria, va costruita in parallelo alla strategia difensiva legale, non lasciata all’improvvisazione del momento in cui la notizia emerge. Questo significa, in pratica, predisporre risposte coerenti tra ciò che viene comunicato all’Autorità nelle memorie difensive e ciò che viene eventualmente comunicato ai clienti coinvolti, evitando che le due narrazioni si contraddicano tra loro, circostanza che un cliente attento — specie se si tratta a sua volta di un soggetto NIS2 o PSNC con proprie responsabilità di filiera da tutelare — non mancherebbe di rilevare e di utilizzare contrattualmente contro il fornitore.

Le misure correttive come elemento di difesa strutturale

In tutti i profili esaminati ricorre un principio comune, spesso sottovalutato: le misure correttive adottate dopo i fatti contestati non servono soltanto a evitare recidive future, ma costituiscono esse stesse un elemento di difesa nel procedimento in corso. L’Autorità, nella valutazione della gravità della violazione e nella graduazione della sanzione, tiene conto non solo di ciò che è accaduto, ma di come l’impresa ha reagito una volta scoperta la carenza.

Questo significa che un piano di remediation tecnica, se predisposto e documentato con tempestività, non va visto come un adempimento successivo e distinto dalla difesa legale, ma come parte integrante della strategia difensiva stessa, da allegare alle memorie difensive insieme a un cronoprogramma verificabile delle azioni già intraprese e di quelle programmate. Per i soggetti essenziali e importanti, un piano di questo tipo che preveda, ad esempio, l’introduzione di procedure formalizzate di incident management, l’aggiornamento delle policy di gestione degli accessi o l’implementazione di controlli aggiuntivi sulla catena di approvvigionamento, comunica all’Autorità un impegno concreto che va ben oltre la mera formula difensiva, ed è coerente con l’approccio complessivo della normativa NIS2, orientata non a punire in astratto ma a innalzare effettivamente il livello di sicurezza del sistema economico nel suo complesso.

Per i fornitori della filiera, un piano correttivo condiviso con il cliente, che ridefinisca puntualmente ruoli e responsabilità tecniche per il futuro, rappresenta spesso la base più solida per rinegoziare anche gli aspetti contrattuali della vicenda, trasformando un conflitto potenziale in una revisione strutturata del rapporto di fornitura. Per gli amministratori personalmente coinvolti, l’adozione tempestiva e documentata di un percorso di formazione specifica, anche successivo ai fatti contestati, resta comunque un elemento che l’Autorità tende a valorizzare positivamente, pur non potendo cancellare la carenza già verificatasi al momento dei fatti.

La chiusura

Il primo passo, di fronte a una comunicazione di irregolarità in materia di cybersicurezza, è capire esattamente in quale dei profili descritti ci si riconosce: soggetto essenziale, soggetto importante, soggetto PSNC, fornitore della filiera o amministratore personalmente richiamato. Il secondo passo è agire secondo le regole specifiche di quel profilo, senza applicare per analogia acritica soluzioni pensate per una situazione diversa dalla propria.

Lo Studio Monardo segue la difesa in questa materia proprio a partire dalla continuità tra fase procedimentale amministrativa e giudizio di legittimità che caratterizza l’attività del cassazionista, e dalla capacità, propria dell’Esperto Negoziatore della crisi d’impresa, di leggere l’impatto economico complessivo di una sanzione elevata prima che diventi irreversibile per la tenuta dell’azienda.

📩 Non aspettare che i termini per le controdeduzioni scadano: scrivici oggi stesso, trovi tutti i riferimenti dello Studio in fondo a questa pagina.