Fino a ieri, privacy e sicurezza informatica erano considerate questioni tecniche, delegate a specialisti o al reparto IT. Con l’entrata in vigore del Decreto Legislativo 47/2026, questa impostazione non è più sufficiente. La norma ridefinisce le responsabilità aziendali: la gestione dei rischi legati all’intelligenza artificiale e alla cybersecurity diventa un compito strategico del Consiglio di Amministrazione, con obblighi precisi di presidio, informazione e controllo. Chi non si adegua rischia non solo danni operativi, ma anche conseguenze legali e reputazionali.
Un cambio di paradigma per la governance d’impresa
Il D.Lgs. 47/2026 attua la direttiva europea NIS 2 e si inserisce in un quadro normativo che vede la digitalizzazione come fattore di rischio sistemico. Non si tratta più di proteggere i dati per evitare sanzioni, ma di garantire la continuità del business e la tenuta dell’intera organizzazione. Il CdA deve ora mappare i rischi digitali in modo continuativo, integrandoli nella valutazione complessiva dei pericoli aziendali. Ciò significa identificare minacce informatiche, vulnerabilità dei sistemi di IA, impatti potenziali su processi critici e terze parti.
Obblighi concreti: flussi informativi e controlli
La norma impone agli amministratori di strutturare canali interni per ricevere aggiornamenti costanti sullo stato della sicurezza e sui progetti di intelligenza artificiale. Non basta un report annuale: serve un flusso informativo tempestivo e adeguato, con indicatori chiari. Inoltre, il CdA deve verificare che l’azienda disponga di sistemi di controllo efficaci, come audit interni, penetration test e procedure di incident response. Ogni decisione strategica, dal lancio di un servizio digitale alla scelta di un fornitore cloud, richiede una valutazione d’impatto sui nuovi fronti di rischio.
Il rischio nascosto: responsabilità personale degli amministratori
La delega al tecnico di turno non è più un alibi. In caso di violazione di dati o incidente grave riconducibile a una governance inadeguata, gli amministratori potrebbero rispondere in prima persona, anche sul piano civile e penale, per culpa in vigilando. Il decreto rafforza il dovere di agire in modo informato e introduce la necessità di dimostrare la diligenza adottata. Ciò implica documentare le valutazioni fatte, i pareri acquisiti e le misure implementate. Per i CdA di aziende quotate o vigilate, le aspettative sono ancora più stringenti.
Come prepararsi: un piano in tre mosse
Non è un adempimento da affrontare con improvvisazione. Gli esperti suggeriscono tre linee di azione. Primo: formare il board sui temi di cybersecurity e AI, con moduli dedicati e aggiornati. Secondo: nominare un referente interno o un comitato rischi digitali che riporti direttamente al CdA, come già avviene per il controllo finanziario. Terzo: adottare un framework di gestione del rischio riconosciuto (come ISO 27001 o NIST) e integrarlo nei processi decisionali. L’obiettivo è creare una cultura della sicurezza diffusa, non limitata all’IT.
Cosa significa per chi legge
Se sei un manager, un consigliere di amministrazione o un imprenditore, questo cambiamento normativo ti tocca direttamente. Innanzitutto, verifica se la tua organizzazione rientra nell’ambito di applicazione del decreto: non solo grandi aziende, ma anche medie imprese in settori critici. In secondo luogo, solleva il tema nel prossimo board meeting: chiedi un punto sullo stato della conformità e sulle risorse dedicate. Infine, considera che la conformità non è un costo, ma un investimento in resilienza: un CdA preparato è un vantaggio competitivo in un mercato in cui la fiducia digitale è sempre più decisiva.