La NIS2 è entrata nella fase dell’attuazione. Dopo l’approvazione dei documenti da parte del CdA, le decisioni devono diventare regole e comportamenti concreti per chi lavora in azienda.
Il decreto NIS e le misure ACN prevedono la formazione degli organi di amministrazione e direttivi e un’offerta periodica di formazione per i dipendenti. Per renderla efficace, l’azienda deve individuare chi deve conoscere ciascuna regola, quali indicazioni servono per i diversi ruoli e come documentare le attività svolte.
Questo articolo spiega come coinvolgere i dipendenti e trasformare il piano approvato in un percorso formativo pratico e tracciabile. Partiamo da una situazione che molte aziende potrebbero riconoscere.
Il giorno dopo la delibera
Il CdA ha approvato i documenti NIS2. Le decisioni sono state verbalizzate, le responsabilità assegnate e il piano di formazione definito.
Poi, lunedì mattina, una dipendente riceve una mail che sembra provenire da un fornitore abituale e chiede di modificare l’IBAN. Un tecnico deve intervenire su un sistema senza sapere chi avvisare. Una nuova collega riceve le credenziali, ma non conosce ancora le regole per usarle in sicurezza.
Sono situazioni ipotetiche, ma pongono una domanda concreta: le persone sanno che cosa è stato deciso e che cosa devono fare nel proprio lavoro?
Undici documenti da approvare. E poi?
L’ACN individua undici documenti che gli organi di amministrazione e direttivi devono approvare: dall’organizzazione per la sicurezza informatica alle politiche, dalla valutazione del rischio ai piani di continuità, formazione e gestione degli incidenti.
L’elenco è riportato nell’Appendice C della Guida alla lettura delle specifiche di base e nelle FAQ ACN di settembre 2026, alla voce ODA.10. Questi documenti devono esprimere le scelte di indirizzo e pianificazione strategica richieste dalle misure.
Le procedure e le istruzioni operative possono essere raccolte in documenti distinti, curati dalle funzioni competenti e richiamati nei documenti approvati. La FAQ ODA.11 dell’ACN chiarisce che non è necessario sottoporre anche questi ulteriori documenti all’approvazione degli organi.
La delibera, quindi, non chiude il lavoro: stabilisce la direzione e assegna responsabilità. Perché le decisioni producano effetti, ciascuna funzione deve sapere che cosa le compete e quali indicazioni seguire.
La formazione porta le regole alle persone
Il piano di formazione è uno degli undici documenti soggetti ad approvazione. La misura ACN PR.AT-01 richiede che sia definito, attuato, aggiornato e documentato. Deve pianificare le attività formative, indicarne i contenuti e descrivere le eventuali modalità di verifica.
Il piano è approvato dagli organi di amministrazione e direttivi. L’organizzazione deve inoltre tenere un registro aggiornato dei dipendenti che hanno ricevuto la formazione, dei relativi contenuti e delle verifiche svolte, quando previste.
Il decreto NIS attribuisce agli organi due responsabilità: seguire una formazione in materia di sicurezza informatica e promuovere un’offerta periodica di formazione coerente per i dipendenti.
Per il referente della formazione questo significa lavorare insieme ai responsabili di funzione e a chi segue la sicurezza informatica. il referente può organizzare il calendario e tenere il registro; i contenuti e le istruzioni pratiche vanno concordati con chi conosce i rischi, i processi e le procedure aziendali.
Non serve lo stesso corso per tutti
Un corso generale può fornire a tutto il personale le conoscenze di base. Ma ruoli diversi comportano rischi e responsabilità diverse, e il piano dovrebbe tenerne conto.
Per esempio:
- Organi di amministrazione e direttivi: responsabilità, valutazione dei rischi, decisioni e gestione degli incidenti.
- Responsabili di funzione: rischi dei processi presidiati, compiti assegnati e modalità di escalation.
- Tutto il personale: phishing e truffe, credenziali, dispositivi, regole di sicurezza e modalità per segnalare un evento.
- IT e amministratori di sistema: contenuti tecnici collegati alle attività effettivamente svolte.
- Ruoli NIS e componenti del comitato di crisi: responsabilità, contatti e procedure da attivare in caso di incidente o crisi.
Il piano può prevedere moduli specifici per neoassunti e per chi cambia ruolo. La tempistica è una scelta organizzativa da definire in base alle attività e ai rischi: è utile che le persone ricevano le istruzioni necessarie prima di svolgere i nuovi compiti.
Anche il personale dei fornitori con accesso ai sistemi può richiedere attenzione. L’azienda può valutare quali regole comunicare e come disciplinarle nei rapporti con il fornitore.
NIS2, GDPR e AI Act: un percorso coordinato
La formazione NIS2 può essere coordinata con quella prevista in altri ambiti, come la protezione dei dati personali. Chi tratta dati sotto l’autorità del titolare deve farlo secondo le istruzioni ricevute; il DPO, dove nominato, sorveglia anche la sensibilizzazione e la formazione del personale che partecipa ai trattamenti.
I contenuti possono sovrapporsi. Una mail di phishing, per esempio, è un rischio per la sicurezza informatica e può causare anche una violazione di dati personali. L’uso degli strumenti aziendali può coinvolgere sia le regole di sicurezza sia quelle di protezione dei dati.
Anche l’alfabetizzazione sull’intelligenza artificiale può essere inserita in un percorso coordinato, quando è pertinente ai ruoli e agli strumenti utilizzati in azienda. Gli obblighi applicabili vanno verificati sulla versione vigente dell’AI Act e in base al ruolo dell’organizzazione e all’uso concreto dei sistemi.
Coordinare i percorsi aiuta a collegare i temi e a organizzare meglio le attività. Il piano deve comunque rendere chiari i destinatari, i contenuti e le evidenze richieste per ciascun ambito.
Il registro documenta il percorso
La formazione deve poter essere ricostruita. Il registro previsto da PR.AT-01 riporta i dipendenti formati, i contenuti ricevuti e le verifiche svolte, ove previste.
In pratica, per ogni attività è utile annotare:
- chi ha partecipato;
- quale modulo ha seguito e quando;
- quali contenuti sono stati trattati;
- se era prevista una verifica e quale esito ha avuto;
- dove si trova l’evidenza, come un attestato, un foglio presenze o il log della piattaforma.
Un registro può raccogliere attività formative riferite a più ambiti, purché permetta di ricostruire con chiarezza i destinatari, i contenuti e gli esiti richiesti.
Il referente della formazione può usare queste informazioni per monitorare la partecipazione e aggiornare gli organi sull’avanzamento. I responsabili di funzione possono segnalare esigenze formative; chi coordina la sicurezza può proporre aggiornamenti in base a cambiamenti, vulnerabilità o incidenti.
Sette azioni per partire
Dopo l’approvazione, il referente della formazione può avviare il lavoro con questi passaggi:
Raccogliere i documenti approvati e la relativa delibera, verificando titolo, codice, versione e data.
Individuare i destinatari : per ogni regola e piano, chiarire quali funzioni e ruoli sono coinvolti.
Concordare le istruzioni pratiche con i responsabili competenti: che cosa fare, chi avvisare e dove trovare le procedure.
Pianificare i moduli, distinguendo quelli comuni da quelli specifici per ruolo.
Coordinare i contenuti NIS2 con i percorsi GDPR e, quando pertinente, con quelli sull’IA.
Prevedere l’inserimento formativo per neoassunti e persone che assumono nuovi compiti.
Tenere aggiornato il registro e condividere con gli organi competenti le informazioni sull’avanzamento.
Una verifica semplice aiuta a capire se le indicazioni sono arrivate alle persone: un dipendente sa a chi segnalare un messaggio sospetto o un possibile incidente? Se non lo sa, occorre rendere più chiari i canali e le istruzioni.
La delibera è l’inizio dell’attuazione
Torniamo a quel lunedì mattina. La dipendente con la falsa richiesta di cambio IBAN, il tecnico che non sa chi avvisare, la collega con le credenziali appena ricevute: nessuno di loro leggerà gli undici documenti approvati dal CdA.
E non serve che lo facciano. I documenti devono però tradursi nelle indicazioni che servono alle persone per lavorare in sicurezza. La formazione collega le decisioni agli incarichi, alle procedure e ai comportamenti quotidiani. Il referente della formazione contribuisce organizzando il percorso e documentandolo, insieme ai responsabili aziendali e alle funzioni che presidiano la sicurezza.
Il CdA ha approvato il piano. Ora il compito è attuarlo, verificarne l’avanzamento e mantenerlo aggiornato.
Iscriviti a Preparatissimo per organizzare in un unico percorso la formazione NIS2, GDPR e AI Act della tua azienda: dai destinatari alle scadenze, fino al registro pronto per le verifiche.
Avv. Andrea Battistella
Avvocato Cassazionista e consulente in digital compliance. Mi occupo di diritto e innovazione con focus su trasformazione digitale, Intelligenza Artificiale, e-commerce e protezione dei dati personali (GDPR), unendo analisi giuridica e impatto operativo.
Avv. Andrea Battistella
Avvocato Cassazionista e consulente in digital compliance. Mi occupo di diritto e innovazione con focus su trasformazione digitale, Intelligenza Artificiale, e-commerce e protezione dei dati personali (GDPR), unendo analisi giuridica e impatto operativo.
Il CdA ha approvato i documenti NIS2. E adesso? Dalla delibera ai comportamenti concreti: come coinvolgere tutti i dipendenti.