Ivano Pecis  |  DPO/RPD — Advisor in Governance, Privacy & Compliance  |  I&P Partners, Milano  |  Ottobre 2026

RISPOSTA DIRETTA Una presa d’atto del consiglio di amministrazione non basta a dimostrare l’adempimento dell’art. 23 del D.Lgs. 138/2024, che chiede agli organi di amministrazione e direttivi dei soggetti NIS di approvare le modalità di implementazione delle misure di gestione dei rischi per la sicurezza informatica. La presa d’atto registra un’informazione ricevuta; l’approvazione documenta una scelta.

IN SINTESI L’art. 23, comma 1, del D.Lgs. 138/2024 chiede all’organo di amministrazione di approvare le modalità di implementazione delle misure di sicurezza informatica, non di esserne informato.Oggetto dell’approvazione è un processo: il modo in cui l’organizzazione traduce il rischio in misure. Non un acquisto.Anche ammesso che una presa d’atto seguita da investimenti regga sul piano della validità, non regge su quello della prova.La presa d’atto nasce nell’ordine del giorno: un punto iscritto come «informativa», senza istruttoria preventiva, non dà all’organo gli elementi per approvare.Il test sull’ultimo verbale: il verbo usato e il rischio residuo nominato.

Per i soggetti che hanno ricevuto la comunicazione dell’Agenzia per la cybersicurezza nazionale (ACN) ad aprile 2025, ottobre 2026 chiude i diciotto mesi concessi per adottare le misure di sicurezza di base. Si può arrivare a quella data con le misure in campo e restare scoperti proprio sul punto che l’art. 23 assegna al vertice: la decisione. Succede quando il verbale dice «il Consiglio prende atto».

Su Altalex ho analizzato perché, con la NIS2, l’oggetto della prova si sposta dalla misura alla delibera. Qui riprendo la distinzione da cui quell’analisi parte, l’obiezione più forte che le si può muovere e il punto, a monte della seduta, in cui la presa d’atto nasce.

Cosa chiede l’art. 23 del D.Lgs. 138/2024 all’organo di amministrazione?

L’art. 23, comma 1, del D.Lgs. 4 settembre 2024, n. 138, che recepisce la direttiva (UE) 2022/2555 (NIS2), stabilisce che gli organi di amministrazione e direttivi dei soggetti essenziali e importanti approvano le modalità di implementazione delle misure di gestione dei rischi per la sicurezza informatica, sovrintendono all’implementazione degli obblighi e sono responsabili delle violazioni del decreto.

Due dettagli cambiano la lettura. Il verbo è approvare, non essere informati. E l’oggetto non sono le misure, ma le loro modalità di implementazione: il modo in cui l’organizzazione traduce il rischio in misure e ne verifica il funzionamento. Al consiglio non si chiede di scegliere una tecnologia. Gli si chiede di fare proprio un processo.

Che differenza c’è tra presa d’atto e approvazione?

La presa d’atto è la formula con cui un organo collegiale registra di aver ricevuto un’informazione: altri hanno istruito e proposto, a volte già deciso, e il consiglio ne dà conto a verbale. L’approvazione è un atto proprio dell’organo, che sceglie, assume i presupposti della scelta e ne accetta le conseguenze, compreso il rischio che resta scoperto.

La differenza non sta nel lessico ma in ciò che il verbale può provare. Una presa d’atto prova che l’informazione è arrivata al consiglio. Un’approvazione prova che il consiglio ha scelto. E poiché l’art. 23, comma 1, lettera c), rende gli organi responsabili delle violazioni del decreto, è la seconda prova a servire a chi dovrà rispondere.

Una presa d’atto seguita da investimenti vale come approvazione?

È l’obiezione più forte: se il consiglio prende atto della relazione e poi stanzia il budget, la volontà si ricava dai fatti. Anche ammesso che regga sul piano della validità, su quello della prova no. I fatti concludenti mostrano che il consiglio ha lasciato fare, non che abbia scelto come. Non dicono su quale informazione si è deciso, quali alternative sono state scartate, quale rischio è stato accettato e da chi.

C’è un secondo limite, meno visibile. Lo stanziamento approva una spesa; l’art. 23 chiede di approvare una modalità di implementazione. Si può finanziare un progetto di sicurezza senza aver mai deciso come l’organizzazione governa il rischio che quel progetto dovrebbe ridurre. Il budget prova la prima cosa, non la seconda.

Dove nasce la presa d’atto nei verbali sulla cybersicurezza?

Prima del verbale, nell’ordine del giorno. Se il punto è iscritto come «informativa sullo stato della sicurezza informatica» e la relazione arriva in seduta, il consiglio non ha davanti una proposta su cui deliberare: ha un documento da ascoltare. Senza un’istruttoria letta prima, non ha gli elementi per fare altro che prenderne atto. Il verbo della delibera si decide quando si scrive l’ordine del giorno.

Le correzioni stanno tutte a monte della riunione. Il punto va iscritto come proposta di deliberazione: «approvazione delle modalità di implementazione delle misure di gestione dei rischi per la sicurezza informatica». L’istruttoria va trasmessa ai componenti dell’organo prima della seduta, con il tempo di leggerla: datata, attribuita a chi l’ha redatta, con le opzioni considerate e la ragione di quella raccomandata. Se le misure incidono su trattamenti di dati personali, l’art. 38, paragrafo 1, del Regolamento (UE) 2016/679 (GDPR) chiede che il DPO sia coinvolto tempestivamente: qui significa sull’istruttoria, non a delibera adottata.

Cosa deve contenere la delibera è il passo successivo, ed è il centro dell’articolo su Altalex. Ma nessun contenuto rimedia a una seduta in cui l’organo è stato convocato per ascoltare.

L’art. 23 vale anche per le pubbliche amministrazioni?

Sì. L’art. 23 si riferisce agli organi di amministrazione e direttivi di tutti i soggetti essenziali e importanti, comprese le pubbliche amministrazioni che rientrano nel perimetro del decreto. Negli enti la prima questione è individuare quale organo svolga, ai fini NIS, quel ruolo: va risolta prima, perché è a quell’organo che spetta l’approvazione. Da lì in avanti il test è lo stesso. La deliberazione deve approvare, non prendere atto.

Come si verifica se l’ultimo verbale regge?

Aprite l’ultimo verbale in cui l’organo di amministrazione ha trattato il rischio informatico e cercate due cose. Il verbo: «prende atto» oppure «approva». E il rischio residuo: nominato, con l’indicazione di chi lo ha accettato, oppure assente.

Se il verbo è il primo o il rischio manca, non manca un documento. Manca l’istruttoria che doveva precederlo, e va impostata prima della prossima seduta.

L’analisi completa, con gli elementi che una delibera deve contenere per essere difendibile, è su Altalex: «Cybersicurezza e organo amministrativo: quando l’oggetto della prova diventa la delibera» → https://www.altalex.com/documents/news/2026/10/01/cybersicurezza-organo-amministrativo-quando-oggetto-prova-diventa-delibera

Per impostare il ciclo istruttoria, delibera e riesame nel vostro ente o nella vostra società: amministrazione@partnerprivacy.it