Se si dovesse individuare il tema che più di tutto unisce due normative come NIS2 e CSRD, attive in domini diversi, credo si debba chiamare in causa il tema del risk management. Non è certo il solo punto di incontro, come vedremo, ma è l’ambito primario comune sul quale si trovano a dialogare e collaborare i diversi responsabili aziendali chiamati a gestire la Network and Information Systems Directive 2 (NIS2), ovvero la direttiva europea che rafforza la cybersicurezza delle organizzazioni attive nei settori critici e la Corporate Sustainability Reporting Directive (CSRD), la direttiva europea che invece chiede di rendicontare impatti, rischi e opportunità ambientali, sociali e di governance secondo gli standard ESRS.
NIS2 e CSRD, un ponte tra sicurezza e sostenibilità
Se la NIS2 disciplina la sicurezza informatica e la CSRD regola la rendicontazione di sostenibilità siamo davanti a due normative che sembrano appartenere a mondi differenti: la prima interessa soprattutto CISO, CIO e responsabili IT; la seconda coinvolge funzioni come sustainability manager, ESG, CFO e amministrazione. Nella realtà però, a partire dalle necessità di tutte queste funzione di attuare una gestione dei rischi sempre più interconnessa e precisa, si tratta di due direttive europee che si incontrano in numerosi punti.
Entrambe richiedono alle aziende di conoscere – appunto – i propri rischi, attribuire responsabilità agli organi di gestione, controllare la catena di fornitura e produrre informazioni affidabili. La cybersecurity diventa così una componente della governance ESG e, in determinate circostanze, anche un tema sociale, ambientale e finanziario.
NIS2 e CSRD: gli obiettivi sono differenti ma dati ed evidenze sono collegati
La direttiva NIS2 punta ad aumentare il livello comune di cybersicurezza nell’Unione europea. Si applica alle organizzazioni che operano in numerosi settori critici, tra cui energia, trasporti, sanità, infrastrutture digitali, servizi pubblici, gestione dei rifiuti, industria e produzione alimentare. Tutti settori con una particolare attenzione alle tematiche ESG.
La CSRD impone alle imprese comprese nel suo perimetro di rendicontare le informazioni rilevanti in materia ambientale, sociale e di governance secondo gli European Sustainability Reporting Standards, gli ESRS.
La NIS2 ha come obiettivo la protezione dei sistemi e la continuità operativa
La NIS2 richiede misure tecniche, operative e organizzative adeguate alla gestione dei rischi informatici. Gli interventi riguardano analisi del rischio, gestione degli incidenti, continuità operativa, backup, disaster recovery, sicurezza della supply chain, controllo degli accessi, formazione, crittografia e verifica dell’efficacia dei presidi.
Un elemento centrale è la responsabilità degli organi di amministrazione e direzione, chiamati ad approvare e sorvegliare le misure di sicurezza. In Italia in particolare la direttiva è stata recepita con il decreto legislativo 138/2024.
Grazie alla CSRD si riesce ad avere una maggiore trasparenza per rischi e impatti
La CSRD chiede alle aziende di spiegare come le questioni di sostenibilità influenzino strategia, modello di business, risultati e prospettive. Contemporaneamente, devono illustrare gli effetti prodotti dalle proprie attività sulle persone e sull’ambiente.
È il principio della doppia materialità: una questione può essere rilevante per le conseguenze economico-finanziarie sull’impresa oppure per gli impatti generati all’esterno. Può naturalmente risultare materiale sotto entrambi i profili.
La cybersecurity non costituisce automaticamente un tema autonomo da rendicontare per ogni azienda. Diventa però rilevante quando può determinare conseguenze materiali su attività, stakeholder, servizi, ambiente, reputazione o risultati finanziari.
Quali sono i punti di incontro tra NIS2 e CSRD
Le due normative non sono concepite per “dialogare” in modo automatico. Una segnalazione effettuata ai sensi della NIS2 non sostituisce l’informativa di sostenibilità e il report CSRD non adempie agli obblighi di sicurezza informatica. Nello stesso tempo va sottolineato che esiste una zona comune che le aziende non possono ignorare.
Governance e responsabilità del consiglio
La prima convergenza riguarda la governance. La NIS2 porta la cybersicurezza all’attenzione del consiglio di amministrazione, superando l’idea che possa essere delegata interamente al reparto IT. La CSRD richiede, a sua volta, trasparenza sul ruolo degli organi di amministrazione, direzione e controllo nella supervisione delle questioni di sostenibilità.
Per entrambe servono responsabilità definite, flussi informativi verso il vertice, competenze adeguate, controlli interni e documentazione delle decisioni. Un rischio informatico capace di interrompere servizi essenziali o compromettere dati sensibili è anche un rischio di governance.
Gestione dei rischi e doppia materialità
Un attacco ransomware può fermare la produzione, generare costi, provocare sanzioni e compromettere rapporti commerciali. In questo caso emerge la materialità finanziaria richiesta dalla CSRD. Se l’incidente espone dati personali, interrompe un servizio sanitario, blocca una rete energetica o danneggia lavoratori e comunità, assume anche una dimensione di impatto. Le analisi NIS2 possono quindi fornire elementi utili alla valutazione di doppia materialità, pur senza sostituirla.
Continuità operativa e resilienza aziendale
La NIS2 assegna un ruolo centrale alla continuità operativa, alla gestione delle crisi e al ripristino dei sistemi. Questi aspetti incidono sulla capacità dell’impresa di mantenere servizi, occupazione, relazioni con clienti e fornitori e obiettivi di sostenibilità.
La resilienza digitale entra così nella più ampia resilienza ESG. Un’azienda non può definirsi sostenibile se non è in grado di proteggere processi indispensabili, dati e infrastrutture dalle minacce informatiche.
Sicurezza della catena di fornitura
NIS2 e CSRD estendono entrambe l’attenzione oltre il perimetro societario. NIS2 richiede di valutare i rischi legati a fornitori e prestatori di servizi ICT. La CSRD porta le imprese a esaminare impatti, rischi e opportunità connessi alla catena del valore.
Le procedure possono condividere alcune informazioni: classificazione dei fornitori critici, dipendenze operative, localizzazione dei servizi, incidenti precedenti e misure di controllo. Occorre però evitare automatismi: la due diligence ESG ha finalità più ampie della verifica di sicurezza informatica.
Come la NIS2 impatta sui fattori ESG
L’impatto più evidente della NIS2 sui temi ESG riguarda la “G”. La NIS2 rafforza il coinvolgimento del vertice, la tracciabilità delle decisioni, la formazione degli amministratori e la misurazione dell’efficacia dei controlli.
Questi elementi contribuiscono a una governance più solida e possono alimentare le informazioni CSRD su ruoli, competenze, processi di controllo e gestione dei rischi. La mancata integrazione, al contrario, può produrre valutazioni incoerenti e responsabilità poco chiare.
La sicurezza informatica tutela clienti, dipendenti, cittadini e comunità. Una violazione può esporre informazioni personali, limitare l’accesso a servizi essenziali o compromettere la sicurezza dei lavoratori. Quando queste conseguenze sono materiali, il rischio cyber assume rilevanza sociale. Questo vale soprattutto per sanità, trasporti, energia, servizi digitali e pubblica amministrazione, dove l’indisponibilità di un sistema può generare effetti diretti sulle persone.
Il legame con la dimensione ambientale è meno immediato, ma concreto. Gli attacchi ai sistemi industriali possono compromettere impianti energetici, reti idriche, processi produttivi e sistemi di controllo, provocando perdite, emissioni anomale o altri danni ambientali.
La NIS2 protegge inoltre l’integrità dei dati utilizzati per calcolare consumi energetici, emissioni, rifiuti e indicatori climatici. Se questi dati vengono alterati, l’informativa ESG può risultare inattendibile anche quando le metodologie di rendicontazione sono formalmente corrette.
Incident reporting e rendicontazione ESG non coincidono
La NIS2 prevede una gestione tempestiva degli incidenti significativi, con comunicazioni scandite in più fasi. La CSRD segue invece il ciclo della rendicontazione societaria e richiede di rappresentare le questioni materiali nel rapporto di sostenibilità.
Lo stesso incidente può attivare entrambi i processi, ma con contenuti, destinatari e tempi differenti. Le informazioni tecniche sensibili non dovrebbero essere trasferite automaticamente nel report ESG. L’impresa deve valutarne materialità, riservatezza e rilevanza per gli stakeholder, coordinando CISO, funzione sustainability management, ESG, CFO, legale, DPO e comunicazione.
NIS2 e CSRD: perché è importante costruire un presidio integrato
Integrare non significa fondere gli adempimenti, ma costruire collegamenti verificabili. L’azienda può adottare un’unica tassonomia dei rischi, una mappa condivisa di processi e fornitori critici e criteri coordinati per escalation, materialità e controllo.
Le evidenze raccolte per la NIS2 — valutazioni del rischio, test, incidenti, formazione e verifiche sui fornitori — possono sostenere la rendicontazione, purché siano selezionate e contestualizzate secondo gli ESRS.
Dal lavoro per silos a un sistema di controllo
Il passo forse più rilevante è nella capacità di istituire una cabina di regia tra sicurezza informatica, sostenibilità, risk management, amministrazione, acquisti, privacy e internal audit. Servono inoltre procedure per verificare la qualità dei dati ESG, simulare incidenti con possibili impatti sociali o ambientali e informare tempestivamente gli organi di governo.
In sostenza, NIS2 e CSRD restano due normative distinte, ma descrivono la stessa trasformazione: la sostenibilità dipende dalla capacità dell’impresa di governare rischi complessi e interconnessi. Trattare la cybersicurezza come una componente della strategia ESG permette di ridurre le duplicazioni e, soprattutto, di rendere più credibili resilienza, responsabilità e trasparenza aziendale.
Partecipa alla community