NIS2, ACN chiarisce controlli, ispezioni e sanzioni: cosa cambia per soggetti essenziali, importanti e PA

Le nuove FAQ ACN su monitoraggio, vigilanza ed esecuzione spiegano come si articolano monitoraggio continuativo, verifiche, ispezioni, misure di esecuzione e sanzioni e distinguono il regime dei soggetti essenziali da quello dei soggetti importanti e delle Pubbliche Amministrazioni.

Sommario

L’Agenzia per la cybersicurezza nazionale ha pubblicato una nuova sezione delle FAQ NIS dedicata a monitoraggio, vigilanza ed esecuzione. Le risposte MVE.1–MVE.5 rendono più leggibile il modello previsto dal Capo V del d.lgs. 4 settembre 2024, n. 138: la conformità NIS2 non è soltanto un insieme di adempimenti iniziali, ma un percorso che deve poter essere documentato nel tempo, sottoposto a monitoraggio e, quando necessario, a verifica, ispezione, misure di esecuzione e sanzioni. Per i soggetti NIS diventa quindi centrale non solo “fare”, ma anche dimostrare in modo ordinato e aggiornato ciò che è stato fatto.

Una delle domande più concrete per chi sta affrontando l’adeguamento NIS2 è questa: che cosa succede dopo la registrazione, l’individuazione dei ruoli, l’approvazione delle misure e l’avvio del programma di sicurezza?

Le nuove FAQ dell’ACN rispondono proprio a questo passaggio. Non introducono un nuovo sistema di vigilanza rispetto al decreto NIS, ma ne spiegano in termini operativi la struttura e aiutano soggetti essenziali, soggetti importanti e Pubbliche Amministrazioni a comprendere come l’Agenzia potrà acquisire informazioni, effettuare verifiche, intervenire sulle carenze e applicare il regime sanzionatorio.

Il messaggio è rilevante anche sul piano organizzativo: la conformità deve essere continuativa, verificabile e documentabile.

I quattro ambiti della vigilanza ACN

La FAQ MVE.1 ricostruisce l’attività di vigilanza ed esecuzione dell’Autorità nazionale competente NIS in quattro ambiti:

monitoraggio, analisi e supporto ai soggetti NIS;
verifiche e ispezioni;
misure di esecuzione;
sanzioni amministrative pecuniarie e accessorie.

L’Agenzia precisa che l’attività si svolge secondo un approccio graduale basato sul rischio, tenendo conto delle caratteristiche della singola fattispecie.

Il d.lgs. 138/2024 indica inoltre i criteri che orientano l’esercizio dei poteri: gravità e durata della violazione, eventuali precedenti, danni provocati, intenzionalità o negligenza, misure adottate per prevenire o attenuare il danno, adesione a codici o certificazioni e livello di collaborazione con l’Autorità.

Non si tratta quindi di un controllo indifferenziato. Il modello è proporzionato al rischio e alla situazione concreta, ma presuppone che il soggetto sia in grado di ricostruire ciò che ha fatto e le ragioni delle proprie decisioni.

Il monitoraggio è sistematico e continuativo

Il chiarimento forse più importante sul piano operativo è contenuto nella MVE.2.

ACN descrive monitoraggio, analisi e supporto come un’attività a carattere sistematico e continuativo, diretta a conoscere lo stato di attuazione degli obblighi dei singoli soggetti NIS e ad accompagnarli nel percorso di adeguamento.

Il monitoraggio parte dalle informazioni già trasmesse in adempimento degli obblighi NIS, a cominciare da quelle comunicate in fase di registrazione. Quando tali informazioni non sono sufficienti, l’Agenzia può acquisire ulteriori elementi, anche attraverso:

rendicontazioni, anche periodiche;
autovalutazioni;
ulteriori informazioni utili a comprendere lo stato di attuazione degli obblighi.

Il supporto precede e rimane distinto dall’esercizio dei poteri ispettivi e di esecuzione. Nelle FAQ ACN richiama, tra gli strumenti di supporto, raccomandazioni, FAQ, linee guida, Tavoli settoriali e attività divulgative svolte anche con le associazioni rappresentative.

Per le organizzazioni questo significa che non è prudente preparare le evidenze soltanto quando arriva una richiesta ispettiva. Lo stato di conformità deve essere ricostruibile durante tutto il ciclo di adeguamento.

Ispezioni: la differenza tra soggetti essenziali e importanti

La MVE.3 chiarisce in modo netto una differenza già prevista dall’articolo 36 del decreto NIS.

Nei confronti dei soggetti essenziali, le ispezioni in loco e a distanza, compresi i controlli casuali, possono essere disposte anche ex ante.

Nei confronti dei soggetti importanti, invece, le ispezioni non possono essere disposte ex ante: l’Autorità deve aver acquisito o ricevuto elementi di prova, indicazioni o informazioni che suggeriscano possibili violazioni del decreto NIS.

I poteri di verifica e ispettivi possono comprendere:

la verifica della documentazione e delle informazioni trasmesse ad ACN;
ispezioni in loco e a distanza, compresi controlli casuali nei casi consentiti;
richieste di accesso a dati, documenti e altre informazioni necessarie allo svolgimento dei controlli.

Per i soggetti essenziali, quindi, la preparazione alla verifica deve essere considerata parte ordinaria della governance NIS2. Per i soggetti importanti resta un regime di vigilanza collegato a elementi che facciano emergere possibili violazioni, ma ciò non riduce l’esigenza di mantenere documentazione e processi coerenti e aggiornati.

Dall’accertamento delle carenze alle intimazioni e alle diffide

La MVE.4 riguarda le misure di esecuzione previste dall’articolo 37 del d.lgs. 138/2024.

Si tratta dei provvedimenti con cui ACN può richiedere a un soggetto NIS di:

conformare la propria condotta agli obblighi previsti dal decreto;
rimediare alle carenze accertate;
far cessare condotte assunte in violazione della disciplina NIS o delle prescrizioni impartite dall’Agenzia.

Le misure possono essere adottate tramite intimazioni e diffide, indicando modalità e termini ragionevoli e proporzionati per adempiere.

Un punto merita particolare attenzione: l’adozione di una misura di esecuzione non preclude l’esercizio del potere sanzionatorio. Correzione della condotta e sanzione hanno funzioni diverse e possono quindi operare in modo complementare.

Questo rafforza l’importanza dei piani di rimedio. Quando emerge una carenza, non basta registrarla: occorre attribuire responsabilità, stabilire tempi, documentare le azioni correttive e verificarne la chiusura.

Le sanzioni non sono uguali per tutti

La MVE.5 ricorda che le fattispecie di illecito amministrativo previste dall’articolo 38 sono comuni, ma entità delle sanzioni pecuniarie e ambito delle misure accessorie cambiano in funzione della natura del soggetto.

Per le principali violazioni degli obblighi richiamati dall’articolo 38, il decreto prevede, tra l’altro:

per i soggetti essenziali diversi dalle Pubbliche Amministrazioni, una sanzione amministrativa pecuniaria fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore;
per i soggetti importanti diversi dalle Pubbliche Amministrazioni, fino a 7 milioni di euro o all’1,4% del fatturato annuo mondiale, se superiore;
per le Pubbliche Amministrazioni qualificate come soggetti essenziali, importi compresi tra 25.000 e 125.000 euro;
per le Pubbliche Amministrazioni qualificate come soggetti importanti, gli importi previsti per le PA essenziali sono ridotti di un terzo.

Gli importi effettivi dipendono dalla fattispecie contestata e dai criteri di graduazione previsti dalla normativa. Per le amministrazioni pubbliche il decreto richiama inoltre, nei casi previsti, i possibili profili di responsabilità dirigenziale, disciplinare e amministrativo-contabile.

Il punto operativo non è quindi soltanto la dimensione della sanzione. Il sistema collega la responsabilità alla capacità dell’organizzazione di dimostrare una gestione effettiva, proporzionata e tracciabile degli obblighi.

Il “fascicolo delle evidenze NIS2”: un modello operativo iSimply

Le FAQ non introducono un documento denominato “fascicolo delle evidenze NIS2”. È però utile, sul piano organizzativo, raccogliere in modo coordinato le evidenze che possono dimostrare lo stato di attuazione degli obblighi.

iSimply propone di strutturare questo fascicolo come strumento interno di accountability e preparazione al monitoraggio, adattandolo alla realtà del singolo soggetto.

Tra le evidenze da presidiare possono rientrare:

deliberazioni, verbali e atti di approvazione degli Organi Direttivi;
matrice degli obblighi e delle misure applicabili;
stato di implementazione delle misure e relativo piano di lavoro;
rendicontazioni e autovalutazioni predisposte internamente o trasmesse ad ACN;
rapporti di audit, vulnerability assessment, penetration test e scansioni di sicurezza, quando pertinenti;
registro delle non conformità, delle criticità e delle remediation;
evidenze delle notifiche e della gestione degli incidenti;
valutazioni relative ai fornitori e alla supply chain;
registri della formazione degli Organi Direttivi e del personale;
versioni approvate di policy, procedure e istruzioni, con tracciamento delle modifiche;
evidenze delle verifiche di efficacia e della chiusura delle azioni correttive.

L’obiettivo non è aumentare la burocrazia, ma evitare che informazioni già esistenti restino disperse tra IT, compliance, procurement, direzione, legale e funzioni operative.

Cosa devono fare ora i soggetti NIS

Le nuove FAQ costituiscono un buon punto di partenza per verificare se il programma NIS2 è organizzato anche per la fase di vigilanza.

In concreto, è opportuno:

individuare un responsabile del coordinamento delle evidenze, evitando che la documentazione rimanga frammentata tra più funzioni;
verificare la coerenza tra dati comunicati ad ACN e situazione reale, soprattutto per ruoli, servizi, fornitori e stato di implementazione;
predisporre un sistema di reporting periodico sullo stato delle misure, sulle criticità e sulle azioni correttive;
formalizzare il processo di gestione delle remediation, con responsabile, scadenza, stato e verifica di chiusura;
assicurare la tracciabilità delle decisioni degli Organi Direttivi, comprese approvazioni, formazione e attività di sovrintendenza;
preparare il processo di risposta a richieste ACN, verifiche e ispezioni, definendo chi raccoglie documenti e informazioni e chi presidia le interlocuzioni;
integrare nel sistema le evidenze della supply chain, perché anche valutazione e gestione dei fornitori fanno parte del quadro complessivo di conformità.

La preparazione alla vigilanza non dovrebbe essere un progetto separato dall’adeguamento NIS2. È la naturale conseguenza di un sistema di governance progettato per essere conoscibile, controllabile e dimostrabile.

Conclusione

Le FAQ MVE.1–MVE.5 non aggiungono nuovi obblighi rispetto al Capo V del decreto NIS, ma rendono molto più concreto il modo in cui ACN descrive la propria attività di monitoraggio, vigilanza ed esecuzione.

Il passaggio più rilevante è culturale e organizzativo: la conformità NIS2 deve poter essere dimostrata nel tempo. Misure adottate, decisioni, controlli, formazione, valutazioni sui fornitori, audit e remediation devono formare un insieme coerente di evidenze e non una raccolta occasionale preparata soltanto in vista di un controllo.

Per soggetti essenziali, importanti e Pubbliche Amministrazioni è quindi il momento di verificare non solo “che cosa manca” nel percorso di adeguamento, ma anche come l’organizzazione dimostrerebbe oggi ad ACN ciò che ha già realizzato.

Enrico Capirone Presidente iSimply srl – Data Protection Officer