Modello 231, ISO 37301, NIS2, CER, DORA e GDPR non sono normative isolate: sono pezzi dello stesso mosaico. Tutte, con strumenti diversi, convergono su due principi gemelli: uno stesso linguaggio del rischio e una accountability che non si esaurisce nell’adempimento documentale, ma richiede a vertici e organi di controllo di dimostrare, con evidenze verificabili, di aver gestito il rischio in modo adeguato.

Di fatto, integrare i rischi informatici nella governance d’impresa significa, oggi, smettere di gestire ciascuna normativa in compartimenti separati e costruire, invece, un sistema capace di parlare contemporaneamente a compliance 231, sicurezza informatica, privacy, continuità operativa e vigilanza. È questa la vera sfida – e la vera opportunità – della cyber-resilienza nella galassia normativa europea.

In breve

• La digitalizzazione dei processi ha trasformato la cybersecurity da questione tecnica a componente strutturale della governance societaria.
• NIS2, CER, DORA e GDPR impongono obblighi specifici per settore, ma condividono la stessa logica di accountability: l’onere di dimostrare, con evidenze concrete, che il rischio è stato individuato, gestito e governato dai vertici.
• Modello 231 e ISO 37301 parlano la stessa lingua anche su questo fronte: colpa di organizzazione e responsabilità degli apicali sono, di fatto, l’accountability italiana applicata alla prevenzione dei reati.
• Senza un approccio orchestrato, il rischio è creare più modelli formalmente solidi ma sovrapposti, costosi e, nei fatti, inefficaci.
• Il documento del CNDCEC (Consiglio nazionale dottori commercialisti ed esperti contabili) del 18 maggio 2026 offre la prima lettura sistemica di questa integrazione, con un focus dedicato anche all’intelligenza artificiale.

Perché la cyber-resilienza è oggi un pilastro della governance d’impresa

La progressiva digitalizzazione dei processi produttivi, la diffusione del lavoro da remoto, l’impiego di infrastrutture cloud e l’utilizzo crescente dell’intelligenza artificiale nei processi decisionali hanno cambiato la natura stessa del rischio d’impresa.

Di fatto, la sicurezza informatica non è più una questione delegabile alle sole funzioni IT: è diventata un parametro di adeguatezza organizzativa, al pari dei controlli contabili o dei presidi antifrode.

Inoltre, gli attacchi cyber, del resto, sono in costante aumento e colpiscono in modo trasversale pubbliche amministrazioni, infrastrutture strategiche, industria manifatturiera, sanità, servizi professionali e settore finanziario.

Ransomware, malware, attacchi DDoS, phishing e compromissione dei sistemi cloud non sono più eventi esterni imprevedibili: possono essere il sintomo di carenze organizzative, controlli interni insufficienti o misure di sicurezza inadeguate.

Il mosaico normativo europeo: NIS2, CER, DORA e GDPR a confronto

L’Unione Europea ha ridisegnato il perimetro della sicurezza digitale e fisica attraverso pilastri normativi distinti ma interconnessi.

NIS2 (Direttiva UE 2022/2555) – Impone alle aziende dei settori critici misure rigorose di gestione del rischio cyber e obblighi di early warning sugli incidenti entro 24 ore.

CER – Critical Entities Resilience (Direttiva UE 2022/2557) – Si concentra sulla resilienza fisica delle infrastrutture critiche, richiedendo un’analisi dei rischi a tutto tondo. Entro il 17 luglio 2026 gli Stati membri dovranno individuare i soggetti critici nei settori strategici (energia, trasporti, sistema bancario).

DORA (Regolamento UE 2022/2554) – È il quadro dedicato al settore finanziario: richiede standard severi sulla gestione del rischio ICT, test di resilienza periodici e monitoraggio strutturato del rischio derivante da fornitori terzi.

GDPR – Resta il riferimento per la protezione dei dati personali e si intreccia inevitabilmente con la gestione dei data breach previsti dalle altre normative.

L’accountability come filo rosso tra NIS2, DORA, CER e GDPR

Dietro framework apparentemente eterogenei si nasconde un principio comune: l’accountability, intesa non come adempimento formale ma come onere di dimostrare, con evidenze tracciabili, l’adeguatezza delle proprie misure di gestione del rischio.

NIS2 rende gli organi direttivi direttamente responsabili dell’approvazione delle misure di gestione del rischio cyber, con possibili sanzioni personali in caso di violazioni gravi, e impone obblighi formativi specifici per il management e l’organizzazione.

DORA attribuisce all’organo di gestione la responsabilità ultima e non delegabile del framework di gestione del rischio ICT, richiedendo approvazione, revisione periodica e supervisione attiva.

CER chiede agli organi direttivi di approvare le misure di resilienza e di vigilare sulla loro effettiva attuazione, estendendo la logica di accountability dal digitale al fisico.

GDPR codifica l’accountability fin dall’art. 5, par. 2: il titolare del trattamento deve essere in grado di dimostrare, e non solo affermare, la conformità delle proprie misure di protezione dei dati.

Di fatto, il principio adottato è identico: non basta agire correttamente, occorre poterlo dimostrare con processi, registri e flussi informativi verificabili. È lo stesso principio su cui si fonda, da sempre, il sistema 231 della colpa di organizzazione.

Non a caso, in coerenza con questo impianto, entro il 31 maggio i soggetti essenziali e importanti dovevano caricare sulla piattaforma ACN l’elenco dei propri fornitori critici: un adempimento che anticipa, nei fatti, la logica di mappatura richiesta dalla Direttiva CER.

Dalla frammentazione normativa al rischio di duplicazione: perché serve un linguaggio comune

La sfida principale per le imprese non è più limitarsi a implementare difese IT, ma fondere compliance legale, gestione del rischio e sicurezza operativa in un sistema di governance olistico. Senza un approccio orchestrato, ogni normativa genera il proprio modello, il proprio risk assessment, il proprio set di evidenze: il risultato è duplicazione di sforzi, costi crescenti e, paradossalmente, minore efficacia preventiva.

Modello 231, ISO 27001, NIS2, CER, DORA e GDPR devono parlare lo stesso linguaggio di rischio.

Un sistema maturo evita le sovrapposizioni: utilizza gli stessi asset, gli stessi processi, le stesse evidenze e le stesse linee di responsabilità per alimentare contemporaneamente compliance 231, sicurezza delle informazioni, privacy, continuità operativa e attività di vigilanza.

Pertanto, in questo scenario, gli organi di amministrazione assumono una responsabilità diretta nell’approvazione e nella supervisione delle misure di gestione del rischio, con conseguenze sanzionatorie personali e aziendali in caso di inadempienza — non più “di facciata”, ma concrete e operative.

Modello 231 e ISO 37301 per garantire una compliance orchestrata

Nel panorama dei sistemi di gestione, la ISO 37301 – Compliance Management System occupa un ruolo spesso frainteso. Non è “una ISO in più”, né una semplice evoluzione della precedente ISO 19600: è, a tutti gli effetti, l’interfaccia naturale tra il mondo ISO e il sistema italiano della responsabilità amministrativa degli enti ex D.Lgs. 231/2001.

Perché ISO 37301 e Decreto 231: molteplici affinità

Il Decreto 231 non si accontenta di modelli “decorativi”: richiede assetti organizzativi idonei a prevenire reati, fondati su mappatura degli obblighi normativi, analisi dei rischi di non conformità, presidi organizzativi, responsabilità chiare e miglioramento continuo. Ciò , di fatto, riflette la struttura della ISO 37301, costruita sulla High Level Structure (punti 4–10).

Inoltre, considerando che il Decreto 231 nasce come norma giuridica, mentre la ISO 37301 come sistema di gestione, la loro integrazione non è solo possibile, bensì logica.

Leadership e responsabilità: il principio comune

Sia il Decreto 231 sia la ISO 37301 condividono un principio cardine: la responsabilità non è delegabile solo sulla carta. La norma richiede un coinvolgimento diretto della Leadership (Alta Direzione, CEO, AD), proprio come il Decreto 231 quando parla di colpa di organizzazione, adeguatezza degli assetti e responsabilità degli apicali.

Di fatto, è la stessa accountability richiesta, con linguaggio diverso, dagli organi di gestione nella NIS2, dall’organo di amministrazione nella DORA, dai vertici aziendali nella CER e dal titolare del trattamento nel GDPR: cambia la norma di riferimento, ma il principio – i.e. chi decide deve rispondere, e deve poterlo dimostrare – resta identico.

Dal modello statico al sistema di compliance dinamico

E’ importante evidenziare che il vero valore della ISO 37301 sta nel trasformare il Modello 231 da documento giuridico a sistema di gestione della conformità, con pianificazione, obiettivi, monitoraggio, audit, riesame della direzione e miglioramento continuo: elementi che il Decreto 231 presuppone ma non struttura operativamente. La scelta, quindi, non è tra 231 o ISO: è tra compliance formale e compliance governata.

L’approccio orchestrato: un framework unico per 231, ISO 37301, NIS2, CER, DORA e GDPR

Il punto che emerge con più forza è che non basta “avere” 231, OdV e ISO 37301 sulla carta: il valore reale si gioca nella coerenza e nell’integrazione operativa tra questi elementi. Senza dialogo tra i sistemi, il rischio è costruire strutture formalmente solide ma sostanzialmente inefficaci.

Un approccio orchestrato richiede di:

• Usare un registro unico degli asset (dati, sistemi, infrastrutture, fornitori critici) condiviso tra 231, NIS2, CER, DORA e GDPR.
• Collegare ogni area sensibile 231 ai relativi presidi di sicurezza richiesti dalle normative cyber-specifiche.
• Costruire un’accountability unificata, in cui la stessa evidenza di supervisione del vertice — approvazione, revisione, monitoraggio — soddisfi contemporaneamente gli obblighi di 231/ISO 37301, NIS2, DORA, CER e GDPR, invece di generare rendicontazioni parallele e ridondanti.
• Alimentare un unico flusso informativo verso vertici, Organismo di Vigilanza, funzioni di sicurezza e autorità di settore, evitando reportistiche parallele.
• Adottare metriche di rischio omogenee, in modo che lo stesso evento (es. un data breach) generi una risposta coordinata su tutti i fronti normativi coinvolti.

Di fatto, per chi lavora in governance e audit, il tema centrale consiste nel passare da una logica di adempimento a una logica di funzionamento reale del sistema.

Il documento del CNDCEC: una lettura integrata di cybersecurity, Modello 231 e perimetro NIS2, DORA, CER e GDPR

Il 18 maggio 2026 il Consiglio Nazionale dei Dottori Commercialisti e degli Esperti Contabili (CNDCEC) ha pubblicato il documento “Cybersecurity e Modello 231: integrazione dei rischi informatici nella governance d’impresa“, elaborato dalla Commissione di Studio “Compliance e modelli organizzativi d.lgs. 231″.

Il documento evidenzia come il cyberspazio abbia assunto la funzione di vero e proprio “ambiente criminogeno trasversale”, capace di incidere su una pluralità di interessi giuridici. Inoltre, I reati informatici dell’art. 24-bis vengono ricondotti a tre aree di tutela, quali: la riservatezza dei dati e delle comunicazioni informatiche, l’integrità dei dati e dei sistemi e la tutela della fede pubblica.

Particolare attenzione è dedicata alla l. n. 90/2024, che ha inasprito sensibilmente il quadro sanzionatorio: la sanzione pecuniaria prevista dall’art. 24-bis del d.lgs. 231/2001 passa da un minimo di 100 e un massimo di 500 quote a un minimo di 200 e un massimo di 700 quote, mentre la nuova fattispecie di estorsione mediante reati informatici (art. 629, comma 3, c.p.) prevede una sanzione da 300 a 800 quote.

Tale inasprimento non è un fenomeno isolato e si allinea ad un analogo irrigidimento sanzionatorio in NIS2, DORA e CER – che prevedono responsabilità dirette in capo agli organi di gestione – e con le sanzioni GDPR. Il segnale, su tutti i fronti, è lo stesso: il legislatore europeo sposta il baricentro della responsabilità dal sistema informatico in sé alla governance che lo presidia.

La natura trasversale del rischio: un solo evento, cinque perimetri normativi

È importante evidenziare che lo stesso evento che fa scattare la responsabilità ex art. 24-bis è, quasi sempre, anche un fatto rilevante per le altre normative cyber. Un attacco ransomware che compromette un database aziendale può costituire, simultaneamente:

• un reato presupposto 231 (accesso abusivo a sistema informatico, danneggiamento di dati e sistemi);
• un incidente da notificare entro 24 ore ai sensi della NIS2;
• un incidente ICT grave da segnalare secondo i tempi previsti da DORA;
• un’interruzione di un servizio essenziale rilevante per la CER;
• una violazione di dati personali da comunicare al Garante e agli interessati entro 72 ore ai sensi del GDPR.

Leggere il documento del CNDCEC isolandolo dal resto del perimetro normativo significherebbe perdere proprio il punto di vista che il documento stesso propone: la natura trasversale del rischio cyber, che attraversa con la stessa intensità responsabilità penale, regolazione di settore e protezione dei dati — e che richiede, a valle, un’unica risposta organizzativa e non cinque procedure di gestione dell’incidente scollegate tra loro.

Intelligenza artificiale (IA): rischio dual-use e alleato della compliance

Il documento del CNDCEC dedica un passaggio specifico all’impatto dell’Intelligenza Artificiale (IA) sulla responsabilità amministrativa degli enti, evidenziando la necessità di ripensare in chiave evolutiva il tradizionale paradigma della “colpa di organizzazione”.

Inoltre, l’IA non viene letta come autonomo elemento giuridico, ma come fattore tecnologico capace di incidere sull’assetto organizzativo dell’impresa e sulla prevedibilità delle condotte illecite.

Ancora, emerge con chiarezza la natura dual-use della tecnologia:

• AI negativa: può accrescere il rischio di reati informatici, societari e finanziari, potenziando la capacità offensiva degli attacchi e automatizzando condotte illecite (incluso il fenomeno dei deepfake, oggi tutelato dal nuovo art. 612-quater c.p.);

• AI positiva: può diventare uno strumento di prevenzione, monitoraggio e rafforzamento dei presidi di compliance, grazie a sistemi di anomaly detection e analisi predittiva.

Il vero nodo giuridico non è l’autonomia decisionale dell’algoritmo, ma la capacità dell’ente di governarne l’utilizzo. È qui che il principio antropocentrico dell’AI Act e della l. 132/2025 diventa centrale: l’essere umano resta responsabile delle decisioni assunte mediante l’AI.

È doveroso evidenziare, inoltre, che l’opacità dei modelli decisionali automatizzati — la cosiddetta black box — può tradursi in un problema di accountability organizzativa: un sistema di AI non supervisionato, tracciato o verificabile rischia di compromettere la capacità dell’ente di dimostrare l’effettiva attuazione del Modello 231.

La gestione operativa del rischio cyber: formazione e nuovo ruolo dell’OdV

Il documento del CNDCEC individua, altresì, nella formazione un elemento essenziale per l’effettiva attuazione del Modello 231. Il fattore umano resta uno dei principali vettori di vulnerabilità, ma costituisce anche il primo presidio preventivo. Per questo occorrono programmi formativi strutturati, periodici e differenziati e, precisamente:

• formazione di base per tutto il personale, su credenziali, phishing, protezione dei dati e obblighi di segnalazione;
• formazione specialistica per le figure tecniche (IT, DPO, audit, compliance);
• aggiornamento continuo per i vertici aziendali e per l’Organismo di Vigilanza, chiamati a comprendere implicazioni organizzative, economiche e sanzionatorie dei rischi cyber.

Il nuovo ruolo dell’Organismo di Vigilanza (OdV)

L’OdV deve oggi sviluppare competenze interdisciplinari che integrino diritto penale dell’economia, cybersecurity, governance dei dati e intelligenza artificiale, superando modelli di vigilanza meramente formali. Gli stessi strumenti di AI possono potenziare l’attività di controllo, abilitando forme di “osservazione aumentata” basate sull’analisi automatizzata di flussi informativi e indicatori di rischio: la vigilanza diventa così sempre più preventiva, dinamica e predittiva.

Una roadmap operativa unica per 231, NIS2, DORA, CER e GDPR

Di seguito si offre una roadmap di adeguamento che non deve essere ripetuta cinque volte: le stesse fasi – i.e. mappatura, gap analysis, presidi, monitoraggio, audit – possono essere progettate una sola volta e fatte “atterrare” contemporaneamente su Modello 231/ISO 37301, NIS2, DORA, CER e GDPR.

Fase della roadmap	Modello 231 / ISO 37301	NIS2	DORA	CER	GDPR
1. Mappatura di processi e asset	Aree sensibili e asset IT collegati ai reati presupposto	Asset e servizi essenziali da proteggere	Registro degli asset ICT e dei fornitori critici	Mappatura delle infrastrutture critiche	Registro dei trattamenti (art. 30)
2. Gap analysis e risk assessment	Risk assessment 231 integrato con i rischi tecnologici	Analisi del rischio cyber sui servizi essenziali	Gap analysis ICT e valutazione del rischio di terze parti	Analisi dei rischi di resilienza fisica e operativa	Valutazione d’impatto sulla protezione dei dati (DPIA)
3. Presidi e misure di mitigazione	Protocolli preventivi, segregazione delle funzioni, controlli di accesso	Misure tecniche e organizzative di gestione del rischio	Misure di sicurezza ICT e test di resilienza periodici	Piani di resilienza e continuità operativa	Misure di sicurezza ex art. 32
4. Monitoraggio e incident response	Flussi informativi verso l’OdV, procedure di incident response	Notifica degli incidenti entro 24 ore	Segnalazione degli incidenti ICT gravi	Reporting verso le autorità nazionali competenti	Notifica del data breach entro 72 ore
5. Audit, riesame e miglioramento continuo	Audit 231/ISO 37301, riesame della direzione	Verifica periodica delle misure di sicurezza	Test di resilienza digitale operativa	Riesame periodico dei piani di resilienza	Audit e accountability ex art. 5

La tabella, letta in orizzontale, è la roadmap di un singolo progetto di compliance integrata. Letta in verticale, mostra come ogni normativa traduca le stesse cinque fasi nel proprio linguaggio, evidenziando che 231, NIS2, DORA, CER e GDPR possono condividere lo stesso processo, gli stessi documenti e le stesse evidenze.

Gap analysis e mappatura dei presidi IT

Il primo passo è analizzare, per ciascun processo aziendale, il divario tra controlli esistenti e nuovi rischi introdotti dalla digitalizzazione:

1. come la digitalizzazione ha modificato il processo;
2. l’efficacia residua dei controlli preesistenti;
3. le nuove vulnerabilità introdotte;
4. le misure tecniche e organizzative necessarie a ripristinare l’efficacia dei controlli.

A questo si affianca una mappatura sistematica dei presidi IT in relazione alle attività sensibili 231, ovvero: attività che utilizzano sistemi informativi, asset IT associati, minacce e vulnerabilità, reati 231 correlati, misure di mitigazione adottate.

La stessa mappatura, se costruita su un registro unico degli asset, alimenta automaticamente l’analisi del rischio richiesta da NIS2, il gap analysis ICT di DORA, l’analisi delle vulnerabilità della CER e il registro dei trattamenti del GDPR, senza la necessità di rifare il lavoro per ciascuna normativa.

Nuovi attori nella compliance aziendale

L’evoluzione dei Modelli 231 richiede il coinvolgimento di nuove figure professionali, in stretta collaborazione con i responsabili compliance, quali (ove presenti):

• Chief Security Officer (CSO)
• Chief Information Security Officer (CISO)
• Chief Information Officer (CIO)
• Fraud Manager
• Data Manager

È importante evidenziare che, anche su questo fronte non servono cinque organici diversi: sono le stesse figure, con le stesse evidenze di attività, a rispondere ai requisiti di più normative, ovvero:

• CISO – Il CISO presidia tanto i protocolli 231 quanto le misure tecniche richieste da NIS2 e i test di resilienza ICT di DORA e si interfaccia con il DPO.
• CIO – Il CIO traduce gli obblighi normativi in architetture IT coerenti: governa il registro unico degli asset e delle infrastrutture su cui si regge l’intera roadmap operativa, garantisce che i nuovi sistemi siano progettati secondo i principi di security by design e privacy by design richiesti da NIS2 e GDPR, presidia i piani di continuità operativa e disaster recovery utili sia ai test di resilienza digitale di DORA sia ai piani di resilienza della CER, e fornisce a CISO e Organismo di Vigilanza le evidenze tecniche — log, configurazioni, mappe degli accessi — necessarie a dimostrare l’effettiva attuazione dei controlli 231
• Data Manager – Il Data Manager alimenta il registro dei trattamenti GDPR e, insieme, la mappatura degli asset informativi rilevante per la CER.
• Fraud Manager – il Fraud Manager, insieme al CSO collegano i controlli antifrode 231 alla resilienza operativa e fisica richiesta dalla CER.
• DPO – Il DPO diventa naturale punto di raccordo tra privacy, sicurezza delle informazioni e Organismo di Vigilanza.

Inoltre, è necessario superare l’assunto che un sistema informatico sia automaticamente un sistema di controllo; va invece considerato come un potenziale componente a rischio-reato, da integrare nel risk assessment 231 insieme all’analisi dei rischi tecnologici e alla gap analysis tra controlli esistenti e nuovi rischi. Misure concrete a presidio di questo impianto includono:

• Registro aggiornato dei dispositivi aziendali
• Credenziali personali con livelli di autorizzazione differenziati
• Autenticazione multifattoriale per i sistemi sensibili
• Segregazione delle funzioni (per evitare che lo stesso soggetto inserisca, approvi e modifichi dati contabili)
• Sistemi di logging e procedure di incident response che definiscano in anticipo responsabili,
• Modalità di isolamento dei sistemi compromessi
• Criteri di comunicazione verso organi societari e OdV.

Conclusioni: dalla compliance formale alla compliance governata

L’idoneità dei Modelli 231 nell’era digitale dipende dalla capacità di evolvere da una visione statica e documentale a un approccio dinamico e integrato, in cui la dimensione informatica è parte essenziale del sistema di controllo. Non si tratta di aggiungere nuovi controlli, ma di riconsiderare l’intero approccio alla compliance in un ecosistema digitalizzato.

La vera sfida per professionisti della compliance, manager della digitalizzazione e Organismi di Vigilanza è trovare l’equilibrio tra innovazione e controllo, in modo che la trasformazione digitale rafforzi, e non comprometta, l’efficacia dei presidi.

Modello 231 e ISO 37301, letti insieme a NIS2, CER, DORA e GDPR attraverso un linguaggio di rischio condiviso e un’accountability comune – la stessa, a ben vedere, richiesta dagli organi di gestione nella NIS2, dall’organo di amministrazione nella DORA, dai vertici nella CER e dal titolare del trattamento nel GDPR – sono oggi lo strumento più solido per trasformare un insieme di obblighi normativi in un vero sistema di governance della cyber-resilienza.

Si è da poco conclusa la terza edizione della CYBSEC EXPO a Piacenza. Guarda il recap finale della fiera!