The Governance Turn of NIS 2 and the Fiduciary Duty of Cyber Oversight: From Caremark to Cybermark

La direttiva (UE) 2022/2555, nota come NIS 2, segna la trasformazione più significativa del diritto europeo della cybersicurezza dall’originario quadro normativo del 2016. Essa riposiziona la sicurezza delle reti e dei sistemi informativi: da disciplina settoriale di mera conformità tecnica a dovere fiduciario di governo dell’impresa. Il presente articolo ricostruisce l’architettura di governance della NIS 2 attraverso un metodo dottrinale-comparatistico, mettendo a confronto il suo disegno prescrittivo ex ante con gli standard fiduciari ex post elaborati dalla giurisprudenza del Delaware nei casi Caremark, Marchand e Boeing. Esso sostiene che la NIS 2 codifichi uno standard fiduciario amministrativo di supervisione cibernetica, funzionalmente convergente con la dottrina statunitense dell’obbligo di vigilanza, ma istituzionalmente divergente quanto a fonte, applicazione e meccanismi sanzionatori. Attraverso il collegamento tra gli obblighi di gestione del rischio previsti dall’art. 21, la sequenza degli obblighi di segnalazione di cui all’art. 23, il regime di responsabilità personale degli amministratori ex art. 32 e le sanzioni pecuniarie parametrate al fatturato di gruppo, la direttiva traspone in diritto positivo una logica riconducibile a Caremark, estendendone tuttavia la portata alla catena di fornitura, in una traiettoria concettualmente prossima alla direttiva sulla due diligence di sostenibilità delle imprese. L’articolo analizza le ricadute della direttiva sui doveri degli amministratori, sulla prassi delle operazioni di M&A, sull’informativa al mercato dei capitali e sull’armonizzazione transfrontaliera con la direttiva CER, il Cyber Resilience Act e l’AI Act. Individua, inoltre, l’emersione di una vera e propria cyber stewardship quale cifra fiduciaria della corporation digitale. Da ultimo, esso sostiene che la NIS 2 organizza la supervisione fiduciaria lungo un asse obbligatorio–informativo–sanzionatorio, configurando il gruppo societario come l’architettura rilevante di rischio e di vigilanza.