Abbiamo tracciato il perimetro applicativo del Decreto NIS 2, analizzato le scadenze operative del 2026 e passato in rassegna le conseguenze, tutt’altro che trascurabili, per i soggetti che arrivano impreparati all’appuntamento con l’enforcement.
Oggi chiudiamo il cerchio introducendo il tema del rapporto tra la NIS 2 e il Modello Organizzativo 231, nel prossimo post parleremo anche della sinergia con la ISO/IEC 27001.
Non si tratta di un esercizio accademico, ma anzi è proprio il “core” di qualsiasi strategia di compliance integrata per le organizzazioni italiane che si trovino contemporaneamente, e spesso lo sono, sotto il perimetro della NIS 2, esposte alle responsabilità da reato del D.Lgs. 231/2001 e in possesso (o in procinto di dotarsi) di una certificazione ISO/IEC 27001 (di solito per gli enti a perimetro 231 questo si somma ad un’eventuale ISO 37001).
Vediamo come questi tre mondi si parlano, dove si sovrappongono e, soprattutto, dove generano valore sinergico se affrontati insieme anziché in silos separati.
Il punto di innesto: la Legge 90/2024 e il nuovo art. 24-bis del D.Lgs. 231/2001
Il collegamento tra NIS 2 e Modello 231 non è una suggestione dottrinale: è scritto nero su bianco nella Legge 90/2024 e, contestualmente, ha modificato l’art. 24-bis del D.Lgs. 231/2001, ossia la disposizione che elenca i reati informatici rilevanti ai fini della responsabilità amministrativa degli enti (una delle tante Parti Speciali del Modello).
La riforma ha prodotto almeno tre conseguenze di immediato rilievo pratico per chi gestisce o supervisiona un Modello 231.
- In primo luogo, le sanzioni pecuniarie a carico dell’ente per i reati informatici “storici” accesso abusivo (615-ter c.p.), intercettazione illecita (617-quater e 617-quinquies c.p.), danneggiamento di sistemi (635-bis, ter, quater e quinquies c.p.) – sono state aumentate, portando la forchetta edittale fino a 700 quote.
- In secondo luogo, è stato introdotto un nuovo comma 1-bis dedicato alla fattispecie di estorsione informatica (art. 629, terzo comma, c.p.), reato di nuova configurazione che punisce chi, attraverso condotte tipicamente ransomware, costringe qualcuno a fare o non fare qualcosa. Per questo reato l’ente rischia fino a 800 quote e sanzioni interdittive non inferiori a due anni. Non è un dettaglio: per molte organizzazioni il rischio ransomware è già il primo o il secondo fattore di rischio cyber, e adesso quel rischio ha anche una dimensione 231.
- In terzo luogo, il comma 2 dell’art. 24-bis ha aggiornato i propri riferimenti: l’abrogato art. 615-quinquies c.p. è stato sostituito dal nuovo art. 635-quater.1 c.p., accanto al mantenuto richiamo al 615-quater. Chi avesse costruito la propria mappatura dei rischi-reato intorno alla norma abrogata si trova con un buco nel modello, indipendentemente dalla qualità di tutto il resto.
La conclusione operativa è semplice: un Modello 231 che non sia stato aggiornato alla luce della Legge 90/2024 non è più un modello adeguato. E un modello inadeguato non esonera l’ente dalla responsabilità. Ma questa conclusione è pacifica fin dall’introduzione della d.lgs 231 e per granitica giurisprudenza sull’inefficacia dei modelli statici e sul mancato aggiornamento (la cd. paper compliance).
Quali invece le relazioni tra NIS2 e ISO/IEC 27001?
Ce ne occuperemo nel prossimo episodio!