Riforma societaria e NIS2: i nuovi obblighi del CdA
Il D.Lgs. 27 marzo 2026, n. 47, in vigore dal 29 aprile 2026, riscrive le regole sul consiglio di amministrazione delle S.p.A.: gli assetti organizzativi diventano compito esplicito ed esclusivo degli amministratori, le deleghe hanno nuovi limiti e il dovere di agire informati entra nel codice. Per le imprese soggette alla NIS2 (D.Lgs. 138/2024), che dovevano completare le misure di sicurezza di base entro ottobre 2026, i due regimi si sommano: la cybersicurezza è oggi, a pieno titolo, una materia da consiglio.
Foto di Rodeo Project Management Software su Unsplash
D.Lgs. 47/2026: cosa cambia per gli amministratori
Il decreto attua la delega dell’art. 19 della L. 5 marzo 2024, n. 21 (“Legge Capitali”). Oltre al TUF, interviene sulla disciplina codicistica delle società di capitali. Le novità principali per il CdA sono cinque.
| Norma | Novità | Cosa significa per il CdA |
| Art. 2380 c.c. | Lo statuto deve scegliere il sistema di amministrazione e controllo; il modello tradizionale non è più il “default” | Verifica e, se necessario, modifica statutaria |
| Art. 2380-bis c.c. | Gestione e organizzazione dell’impresa, inclusi gli assetti organizzativi, amministrativi e contabili, spettano esclusivamente agli amministratori; se plurimi, la gestione è collegiale | L’adeguatezza degli assetti è un dovere gestorio esplicito, non delegabile nel suo nucleo |
| Art. 2381 c.c. | Disciplina autonoma del presidente: convocazione, ordine del giorno, coordinamento, informazione pre-consiliare | Il presidente risponde della qualità dei flussi verso i consiglieri |
| Art. 2381-bis c.c. | Deleghe: il consiglio ne fissa contenuto, limiti e modalità; restano materie riservate al plenum, tra cui le decisioni sull’accesso agli strumenti di regolazione della crisi | Revisione del sistema di deleghe e dei regolamenti consiliari |
| Art. 2381-ter c.c. | Dovere di agire in modo informato; i delegati riferiscono periodicamente (almeno ogni sei mesi); i non esecutivi possono fare ragionevole affidamento sulle informazioni ricevute, fermo il dovere di vigilanza | I flussi informativi vanno strutturati e documentati |
Completano il quadro il nuovo art. 2390-bis c.c. (divieto di sfruttare dati e opportunità d’affari conosciuti nell’esercizio della carica), la possibilità di presidi statutari più rigorosi sui conflitti d’interesse (art. 2391 c.c.) e l’estensione ai direttori generali dei divieti di concorrenza e di uso delle informazioni (art. 2396-bis c.c.). L’organo di controllo vede inoltre codificata la vigilanza sul sistema di controllo interno e di gestione dei rischi (art. 2396-quinquies c.c.).
NIS2 e responsabilità del CdA: il raccordo con la riforma
L’art. 23 del D.Lgs. 4 settembre 2024, n. 138, che recepisce l’art. 20 della Direttiva (UE) 2022/2555, impone agli organi di amministrazione e direttivi dei soggetti essenziali e importanti tre doveri: approvare le modalità di attuazione delle misure di gestione del rischio cyber, sovrintendere alla loro attuazione e seguire una formazione specifica, promuovendola anche per il personale. Gli stessi organi sono informati, periodicamente o tempestivamente, degli incidenti e delle notifiche, e sono responsabili delle violazioni.
Le FAQ dell’ACN aggiornate a luglio 2026 (ODA.10-12) precisano che l’approvazione riguarda l’impostazione generale (framework, piano), che la supervisione è continuativa e che la formazione non può essere solo formale. Il CdA non può limitarsi a trasferire la materia al CISO o a consulenti esterni, e le decisioni devono risultare tracciate nei verbali.
Le due discipline si leggono insieme:
- Assetti adeguati (art. 2380-bis c.c.) e misure NIS2 (art. 24 D.Lgs. 138/2024). Per un soggetto NIS2 un assetto organizzativo privo di un sistema di gestione del rischio cyber difficilmente può dirsi adeguato.
- Deleghe (art. 2381-bis c.c.) e approvazione consiliare (art. 23 NIS2). L’attuazione tecnica è delegabile; l’approvazione e la supervisione richieste dalla NIS2 vanno ricondotte al plenum o, quantomeno, documentate come scelte consiliari.
- Agire informato (art. 2381-ter c.c.) e informativa sugli incidenti (art. 23, c. 3, NIS2). Il flusso su rischi e incidenti cyber è un contenuto naturale dei report periodici dei delegati al consiglio e all’organo di controllo.
- Vigilanza dell’organo di controllo (art. 2396-quinquies c.c.). Il sistema di gestione del rischio cyber rientra nel controllo interno su cui l’organo di controllo vigila.
Sul piano delle scadenze, la Determinazione ACN n. 379907/2025, applicabile dal 15 gennaio 2026, ha fissato gli obblighi di base: notifica degli incidenti operativa da gennaio 2026 e misure di sicurezza di base da completare entro ottobre 2026 per i soggetti già inseriti nell’elenco. Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali e fino a 7 milioni o all’1,4% per gli importanti; per i vertici dei soggetti essenziali è prevista anche l’incapacità temporanea a svolgere funzioni dirigenziali.
Responsabilità degli amministratori e business judgment rule
La riforma non modifica il criterio della diligenza richiesta dalla natura dell’incarico (art. 2392 c.c.), ma ne arricchisce i parametri. Due livelli di responsabilità corrono in parallelo: quella civilistica verso società, soci e creditori e quella amministrativa NIS2 verso l’ACN.
La business judgment rule, di matrice giurisprudenziale, esclude il sindacato sul merito delle scelte gestorie purché siano assunte in modo informato e ragionevole (tra le altre, Cass. civ., sez. I, 22 giugno 2017, n. 15470). Secondo l’orientamento prevalente non copre però l’omissione di assetti adeguati, che è un obbligo di organizzazione e non una scelta d’impresa. Il nuovo art. 2381-ter c.c. rafforza questa lettura: chi non può dimostrare di essersi informato perde il principale argomento difensivo.
In caso di incidente cyber con danno alla società, la difesa degli amministratori passerà quindi dalla prova documentale di tre elementi: delibere di approvazione delle misure, flussi informativi periodici, formazione effettivamente seguita.
Punti aperti e posizioni critiche
- Applicazione alle s.r.l. Resta discusso se gli artt. 2381-bis e 2381-ter c.c., collocati nella disciplina della S.p.A., si estendano per analogia alle s.r.l. con CdA, oltre ai rinvii già previsti dall’art. 2475 c.c. Una lettura estensiva è prudente, non pacifica.
- Regime transitorio. I primi commenti indicano termini diversi per l’adeguamento degli statuti (alcuni richiamano le assemblee successive al 30 settembre 2026) e decorrenze differite per il cambio di sistema.
- Perimetro delle materie non delegabili. I commentatori non concordano sull’elenco completo delle materie riservate dal nuovo art. 2381-bis c.c. oltre alla crisi d’impresa.
- “Novità” o codificazione? Una parte della dottrina legge la riforma come mera codificazione di principi già desumibili dagli artt. 2086 e 2381 c.c. previgenti. La tesi riduce l’impatto sul passato, ma non sulle condotte future.
- Valore delle FAQ ACN. Le FAQ non sono vincolanti. La lettura secondo cui l’approvazione consiliare riguarda solo l’impostazione generale potrebbe essere contestata in sede ispettiva se il sistema risultasse carente.
- Nesso tra violazione NIS2 e responsabilità civile. Che l’inadempimento NIS2 integri di per sé la violazione dell’art. 2380-bis c.c. è una tesi sostenibile ma non ancora vagliata dalla giurisprudenza.
Conclusioni: le priorità per i consigli di amministrazione
La riforma chiede ai consigli di amministrazione di passare dalla forma alla sostanza. Le priorità operative sono cinque:
Statuto. Verificare che indichi espressamente il sistema di amministrazione e controllo prescelto, come ora richiede l’art. 2380 c.c.
Deleghe. Definirne contenuto, limiti e modalità di esercizio, riservando al plenum le materie indicate dall’art. 2381-bis c.c.
Flussi informativi. Aggiornare il regolamento consiliare su informativa pre-consiliare, periodicità dei report dei delegati e conflitti d’interesse (artt. 2381, 2381-ter e 2391 c.c.). Su questi documenti si misurerà la prova di aver agito in modo informato.
Cybersicurezza per i soggetti NIS2. Approvare con delibera motivata il piano di gestione del rischio cyber, inserire rischi e incidenti informatici tra i contenuti fissi dei report al CdA e all’organo di controllo, pianificare e documentare la formazione dei consiglieri (art. 23 D.Lgs. 138/2024).
Coerenza dei presidi. Coordinare Modello 231, sistema di controllo interno e misure NIS2, evitando duplicazioni, e rivedere i contratti di amministratori e direttori generali alla luce dei nuovi artt. 2390-bis e 2396-bis c.c.
La presente newsletter ha finalità informative e non costituisce parere legale.
Lo Studio è a disposizione per qualsiasi chiarimento