Con la NIS2 l’onere della prova si sposta sulla governance: non basta adottare misure di cybersicurezza, occorre dimostrare chi le ha deliberate e perché