Formazione NIS2: cosa chiede la legge e come dimostrarla
Il d.lgs. 138/2024, che recepisce la direttiva NIS2, rende la formazione in sicurezza informatica un obbligo per i soggetti essenziali e importanti. Riguarda prima di tutto il consiglio di amministrazione.
Chi deve formarsi
- Gli organi di amministrazione e direttivi devono seguire una formazione in materia di sicurezza informatica (art. 23, comma 2).
- Devono anche promuovere l'offerta periodica di una formazione analoga per i dipendenti.
- Secondo le FAQ dell'Agenzia per la cybersicurezza nazionale (ACN), queste responsabilità non si delegano al solo IT o al CISO.
Cosa serve in caso di controllo
- Dal 2026 l'ACN passa dall'accompagnamento alle verifiche.
- Servono evidenze: delibera dell'organo di amministrazione, programma, chi ha seguito cosa e quando, esito delle verifiche.
- CyberAcademy produce il registro per persona e lo esporta in CSV, con data, punteggio e codice dell'attestato.
Le sanzioni
- Per i soggetti essenziali, fino a 10 milioni di euro o il 2% del fatturato mondiale annuo.
- Per i soggetti importanti, fino a 7 milioni di euro o l'1,4% del fatturato mondiale annuo.
- Gli organi di amministrazione rispondono delle violazioni delle misure di gestione del rischio.
I corsi (14 moduli)
Percorsi: Compliance · NIS2 CdA + GDPR, Anno 1 · Fondamenta.
- NIS2 per il CdA: responsabilità e governanceNIS2 · Organo di governo, 20 minuti
- GDPR in sanità: dati dei clienti senza rischiGDPR · Settore sanitario, 15 minuti
- Quella email NON è dalla tua bancaPhishing e social engineering, 7 minuti
- Le tue password valgono oroPassword e MFA, 10 minuti
- I tuoi dati personali sono un tesoroPrivacy e GDPR, 12 minuti
- La tua casella email è il portone di casaEmail security, 10 minuti
- Il tuo smartphone sa tutto di teMobile e device security, 12 minuti
- Mai fidarsi di una chiavetta USB trovataSicurezza fisica e viaggio, 10 minuti
- Quello che posti resta per sempreSocial media security, 10 minuti
- Navigare senza naufragareNavigazione e smart working, 10 minuti
- Virus, trojan, worm: il bestiario digitaleMalware e ransomware, 12 minuti
- L'hacker più pericoloso? Un bravo bugiardoSocial engineering, 12 minuti
- Comprare online senza rischiare il contoE-commerce e quishing, 10 minuti
- Se è su internet, è vero? NO!Fake news, deepfake e AI, 12 minuti
Domande frequenti
Chi deve fare la formazione NIS2?
I componenti degli organi di amministrazione e direttivi dei soggetti essenziali e importanti, che devono anche promuovere una formazione periodica per i dipendenti (art. 23 d.lgs. 138/2024).
I dirigenti che non sono nel CdA rientrano nell'obbligo?
Secondo le FAQ ACN i dirigenti fuori dal consiglio di amministrazione non sono componenti degli organi di amministrazione; il rappresentante legale lo è sempre. Restano comunque destinatari della formazione periodica per il personale.
Ogni quanto va ripetuta la formazione NIS2?
La norma parla di formazione periodica senza fissare una cadenza. Un ciclo annuale con un modulo al mese è un modo semplice di renderla continua e documentata.