NIS2, nuove FAQ ACN su controlli e vigilanza: cosa devono sapere aziende ed enti
L’Agenzia per la cybersicurezza nazionale (ACN) ha pubblicato l’11 agosto 2026 una nuova sezione delle FAQ dedicata alle attività di monitoraggio, vigilanza ed esecuzione nei confronti dei soggetti NIS.
Le FAQ, identificate con i codici da MVE.1 a MVE.5, chiariscono come l’ACN potrà verificare il rispetto degli obblighi previsti dal D.Lgs. 138/2024 da parte di soggetti essenziali, soggetti importanti e Pubbliche Amministrazioni.
Non si tratta di una nuova scadenza né dell’introduzione di ulteriori adempimenti.
Il chiarimento è però rilevante perché rende più leggibile il passaggio dalla fase di adeguamento alla fase di controllo.
Per un’organizzazione non sarà sufficiente dichiarare di essere conforme, ma sarà necessario poter dimostrare nel tempo le misure adottate, le verifiche svolte e gli interventi correttivi realizzati.
I quattro ambiti della vigilanza ACN
La FAQ MVE.1 ricorda che l’attività di vigilanza ed esecuzione si articola in quattro ambiti:
- monitoraggio, analisi e supporto ai soggetti NIS;
- verifiche e ispezioni;
- misure di esecuzione;
- sanzioni amministrative pecuniarie e accessorie.
ACN applica un approccio graduale e basato sul rischio, nel rispetto dei principi di effettività, proporzionalità e dissuasività, tenendo conto delle caratteristiche del singolo caso.
Questo significa che controlli e provvedimenti non seguono necessariamente uno schema identico per tutte le organizzazioni. Possono incidere, tra gli altri elementi, la gravità e la durata di una violazione, eventuali precedenti, i danni causati, le misure adottate per limitarli e il livello di collaborazione con l’Autorità.
Monitoraggio continuativo: la conformità deve essere dimostrabile
La FAQ MVE.2 evidenzia il carattere sistematico e continuativo delle attività di monitoraggio, analisi e supporto.
ACN può acquisire informazioni sullo stato di attuazione degli obblighi, valutarne le risultanze e accompagnare i soggetti NIS attraverso raccomandazioni, linee guida, FAQ, tavoli settoriali e attività divulgative.
Il D.Lgs. 138/2024 prevede inoltre la possibilità di richiedere rendicontazioni, autovalutazioni, piani di implementazione, audit e scansioni di sicurezza.
La compliance NIS2 non può essere gestita come un fascicolo da preparare una volta sola.
Deve diventare un processo aggiornato, tracciabile e coerente con ciò che l’organizzazione svolge concretamente.
Procedure formalmente corrette ma non applicate, registri non aggiornati o documenti che non corrispondono all’assetto reale si trasformano in criticità durante un controllo.
Ispezioni: la differenza tra soggetti essenziali e importanti
La FAQ MVE.3 chiarisce una distinzione centrale.
Nei confronti dei soggetti essenziali, l’attività ispettiva può essere esercitata anche ex ante, quindi in via preventiva e senza che debbano essere già emersi specifici elementi di possibile violazione.
Per i soggetti importanti, invece, i poteri di verifica e ispettivi possono essere esercitati quando ACN acquisisce o riceve elementi di prova, indicazioni o informazioni di possibili violazioni del decreto NIS.
Le attività di controllo comprendono la verifica della documentazione e delle informazioni trasmesse, ispezioni in loco o a distanza e richieste di accesso a dati, documenti e altre informazioni necessarie.
Essere classificati come soggetto importante, quindi, non significa essere esclusi dalla vigilanza.
Cambia il presupposto per l’avvio dell’attività ispettiva, resta la necessità di mantenere una conformità effettiva e documentata.
Intimazioni, diffide e misure correttive
La FAQ MVE.4 riguarda le misure di esecuzione previste dall’articolo 37 del D.Lgs. 138/2024.
Quando vengono rilevate carenze o condotte non conformi, ACN può richiedere al soggetto NIS di adempiere agli obblighi, attuare le raccomandazioni ricevute, porre rimedio alle criticità individuate o cessare il comportamento in violazione.
L’Autorità può intervenire mediante intimazioni e, in caso di mancato adempimento, attraverso diffide, indicando modalità e termini ragionevoli e proporzionati.
L’adozione di una misura di esecuzione non impedisce la contestazione della violazione e l’eventuale applicazione di una sanzione.
Correggere una carenza è necessario, ma non cancella automaticamente ciò che è già stato accertato.
Sanzioni diverse per soggetti essenziali, importanti e Pubbliche Amministrazioni
La FAQ MVE.5 precisa che l’entità delle sanzioni pecuniarie e l’ambito delle misure accessorie variano in base alla natura del soggetto.
Per le principali violazioni indicate dall’articolo 38 del decreto, le sanzioni possono arrivare:
- per i soggetti essenziali diversi dalle Pubbliche Amministrazioni, fino a 10 milioni di euro oppure al 2% del fatturato annuo mondiale dell’esercizio precedente, se superiore;
- per i soggetti importanti diversi dalle Pubbliche Amministrazioni, fino a 7 milioni di euro oppure all’1,4% del fatturato annuo mondiale dell’esercizio precedente, se superiore;
- per le Pubbliche Amministrazioni qualificate come soggetti essenziali, da 25.000 a 125.000 euro;
- per le Pubbliche Amministrazioni qualificate come soggetti importanti, una riduzione di un terzo rispetto agli importi previsti per le PA essenziali.
L’importo effettivo dipende dalla violazione contestata e dai criteri di valutazione previsti dalla normativa. In specifiche circostanze possono trovare applicazione anche misure accessorie.
Cosa devono fare aziende ed enti
Le nuove FAQ non richiedono una corsa a produrre altra documentazione. Richiedono, piuttosto, di verificare che quella esistente sia completa, aggiornata e supportata da evidenze concrete.
È opportuno controllare almeno i seguenti aspetti:
- corretta individuazione degli obblighi applicabili e delle responsabilità interne;
- coerenza tra informazioni comunicate a ACN, organizzazione reale e sistemi utilizzati;
- disponibilità di analisi del rischio, politiche, registri, verbali, report di audit e prove delle misure attuate;
- tracciamento delle carenze, dei responsabili, delle scadenze e della chiusura delle azioni correttive;
- aggiornamento delle procedure di gestione e notifica degli incidenti;
- controllo della sicurezza della catena di fornitura;
- formazione degli organi di amministrazione, dei responsabili e del personale coinvolto;
- svolgimento di verifiche periodiche interne, anche tramite simulazioni di audit.
Dalla conformità formale alla capacità di prova
Il messaggio delle nuove FAQ è chiaro: la vigilanza NIS2 non coincide esclusivamente con l’ispezione. È un processo che parte dal monitoraggio, prosegue con l’analisi e il supporto e può arrivare a verifiche, misure correttive e sanzioni.
Per aziende ed enti, il vero obiettivo è costruire una conformità che possa essere ricostruita e dimostrata in qualsiasi momento.
Aspettare una richiesta di ACN per organizzare documenti, responsabilità ed evidenze sarebbe una strategia fragile, soprattutto per i soggetti essenziali, che possono essere sottoposti a controlli anche in via preventiva.
Actainfo supporta Imprese e Pubbliche Amministrazioni nell’analisi degli obblighi NIS2, nella gestione della governance, nella valutazione dei rischi, nella formazione e nell’organizzazione delle evidenze necessarie a rendere il percorso di conformità verificabile nel tempo, anche attraverso l’applicativo ActaCyber.
Fonti
- ACN – Pubblicate le FAQ sulle attività di monitoraggio, vigilanza ed esecuzione nei confronti dei soggetti NIS
- ACN – FAQ NIS: monitoraggio, vigilanza ed esecuzione
- D.Lgs. 4 settembre 2024, n. 138 – Gazzetta Ufficiale
Articolo elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo
