NIS2, ACN chiarisce controlli e sanzioni per soggetti essenziali e importanti

Cosa chiariscono le nuove FAQ ACN sulla NIS2

• La vigilanza NIS comprende monitoraggio, verifiche e ispezioni, misure di esecuzione e sanzioni.
• Il monitoraggio di ACN è sistematico e continuativo e può comprendere richieste di evidenze sullo stato di attuazione degli obblighi.
• Le verifiche ex ante riguardano i soggetti essenziali, mentre per i soggetti importanti il controllo ispettivo presuppone elementi che suggeriscano possibili violazioni.
• ACN può chiedere di correggere carenze attraverso intimazioni e diffide prima di arrivare alle conseguenze sanzionatorie previste dal decreto.
• Le sanzioni e le misure accessorie cambiano in funzione della natura del soggetto: essenziale, importante o pubblica amministrazione.

La NIS2 italiana entra nella fase in cui non basta più registrarsi, indicare un punto di contatto, classificare servizi e compilare la piattaforma ACN. L’Agenzia per la cybersicurezza nazionale ha aggiornato le proprie FAQ dedicate alla disciplina NIS introducendo cinque chiarimenti sulle attività di monitoraggio, vigilanza ed esecuzione, identificate con le sigle MVE.1-MVE.5. Il passaggio è sostanziale perché definisce con maggiore precisione che cosa accade dopo l’ingresso di un’organizzazione nel perimetro regolato: ACN non è soltanto il soggetto che riceve informazioni e notifiche, ma l’autorità chiamata a verificare se gli obblighi siano effettivamente rispettati. È il completamento naturale della fase descritta da Matrice Digitale nella guida alla piattaforma NIS online e alla categorizzazione dei servizi: dopo la costruzione della mappa dei soggetti, delle attività e delle dipendenze digitali arriva la verifica della sua corrispondenza con la sicurezza reale.

ACN passa dalla registrazione alla vigilanza sulla NIS2

Il quadro era già contenuto nel decreto legislativo 4 settembre 2024, n. 138, con cui l’Italia ha recepito la direttiva NIS2, ma le nuove FAQ rendono più leggibile la sequenza dei poteri attribuiti all’Agenzia. L’articolo 34 costruisce infatti la vigilanza attraverso quattro livelli: monitoraggio, analisi e supporto; verifiche e ispezioni; misure di esecuzione; sanzioni amministrative pecuniarie e accessorie. Non sono quindi quattro attività scollegate, ma i passaggi di un sistema nel quale l’autorità può osservare lo stato di conformità, acquisire informazioni, verificare le evidenze prodotte dal soggetto e, quando necessario, imporre misure correttive. La differenza rispetto alla prima fase della NIS2 è evidente. Nel nuovo corso della normativa NIS analizzato già nel 2024, il problema principale era capire chi dovesse entrare nel perimetro e attraverso quale procedura. Oggi il problema diventa dimostrare che quanto dichiarato corrisponda a processi, misure e capacità operative realmente esistenti. Il testo ufficiale del decreto, pubblicato in Gazzetta Ufficiale, attribuisce ad ACN questa funzione di controllo nell’architettura nazionale della NIS2.

Monitoraggio continuo non significa soltanto aspettare un incidente

La FAQ MVE.2 chiarisce un punto che rischiava di essere sottovalutato: l’attività di monitoraggio, analisi e supporto ha carattere sistematico e continuativo. ACN non deve quindi necessariamente attendere un ransomware, un’interruzione di servizio o una violazione conclamata per iniziare a osservare lo stato di attuazione degli obblighi. Il decreto consente all’autorità di richiedere rendicontazioni, autovalutazioni e piani di implementazione e di verificare le informazioni comunicate dai soggetti. In questo senso la NIS2 diventa un processo permanente e non una certificazione ottenuta una volta per tutte. È un’evoluzione importante rispetto alla prima stagione italiana della normativa, quando la priorità era la costruzione degli elenchi e Matrice Digitale aveva analizzato la chiusura del procedimento di registrazione NIS2 e la qualità del supporto offerto da ACN. La logica attuale è diversa: il soggetto deve essere in grado di ricostruire nel tempo cosa ha fatto, perché lo ha fatto, quali lacune ha rilevato e quale percorso ha adottato per eliminarle.

Leggi anche: NIS2, come costruire un processo di gestione incidenti conforme alle linee guida ACN

La differenza decisiva tra soggetti essenziali e soggetti importanti

La FAQ MVE.3 mette nero su bianco la distinzione che incide maggiormente sull’esposizione ai controlli: l’attività ispettiva ex ante può essere esercitata nei confronti dei soggetti essenziali, mentre per i soggetti importanti il decreto prevede un modello di vigilanza ex post. L’articolo 36 stabilisce infatti che, per questi ultimi, i poteri di verifica e ispettivi trovano applicazione quando ACN acquisisce o riceve elementi di prova, indicazioni o informazioni che suggeriscano possibili violazioni. La distinzione deriva direttamente dall’architettura europea. Gli articoli 32 e 33 della direttiva (UE) 2022/2555 separano il regime di supervisione applicabile alle entità essenziali da quello delle entità importanti, per le quali l’intervento dell’autorità è costruito prevalentemente sull’emersione di elementi di non conformità. Non è una differenza nominale: cambia il rischio regolatorio dell’organizzazione e cambia il modo in cui deve prepararsi a dimostrare la propria postura di sicurezza. Nel confronto di Matrice Digitale con Luca Nicoletti di ACN era già emerso come la distinzione tra soggetti essenziali e importanti abbia conseguenze operative anche nella gestione e nella classificazione degli incidenti.

Che cosa può controllare concretamente ACN

L’ispezione non riguarda soltanto firewall, EDR o configurazioni di rete. L’articolo 36 consente verifiche della documentazione e delle informazioni già trasmesse all’autorità, ispezioni in loco e a distanza, controlli e richieste di accesso a dati, documenti e ulteriori informazioni necessarie allo svolgimento della vigilanza. Il soggetto NIS deve quindi poter dimostrare la coerenza tra ciò che dichiara e ciò che effettivamente implementa. Una policy approvata ma mai applicata, un piano di incident response privo di esercitazioni, un inventario degli asset non aggiornato o un contratto con un fornitore che non disciplina gli obblighi di sicurezza possono trasformarsi da semplici lacune operative in problemi di evidenza della conformità. È su questo terreno che si misura la distanza tra sicurezza formale e sicurezza effettiva, tema centrale anche nel profilo del nuovo direttore dell’Agenzia analizzato da Matrice Digitale in Andrea Quacivi all’ACN: chi è il manager Sogei chiamato a guidare la cybersicurezza italiana?. La NIS2 offre all’Agenzia strumenti per capire se dietro procedure e dichiarazioni esista realmente una capacità di prevenzione, risposta e ripristino.

Dall’ispezione alla diffida: come funziona l’enforcement

La FAQ MVE.4 chiarisce il passaggio successivo. Quando emergono carenze o violazioni, ACN può adottare misure di esecuzione finalizzate a riportare il soggetto dentro il perimetro della conformità. La logica è graduale: l’Agenzia può chiedere evidenze, prescrivere interventi, intimare l’adempimento degli obblighi e arrivare alla diffida quando il soggetto non corregge la propria condotta. L’articolo 37 permette inoltre di richiedere dati che dimostrino l’attuazione delle politiche di sicurezza, compresi risultati di audit e relative evidenze. Il dato importante è che la NIS2 non costruisce un sistema esclusivamente punitivo: esiste una fase nella quale l’autorità identifica la carenza e ordina di porvi rimedio. Ma proprio questa gradualità rende più difficile invocare successivamente l’ignoranza dell’obbligo. Se una carenza è stata formalmente individuata e il soggetto non interviene, il problema non è più soltanto tecnico. Diventa un’inottemperanza a un provvedimento dell’autorità. È la stessa distinzione tra incidente, gestione dell’incidente e responsabilità organizzativa che emerge nella guida di Matrice Digitale su data breach e data leak: un evento cyber può attivare contemporaneamente livelli normativi differenti, ma ciò che conta è poter dimostrare come l’organizzazione abbia reagito.

Le sanzioni NIS2 arrivano fino a 10 milioni o al 2% del fatturato

La FAQ MVE.5 ricorda che sanzioni pecuniarie e misure accessorie non sono identiche per tutti. Per le violazioni più rilevanti indicate dall’articolo 38, comprese quelle relative agli obblighi degli organi di amministrazione, alla gestione del rischio, alla notifica degli incidenti e all’inottemperanza alle misure di esecuzione, il decreto prevede per i soggetti essenziali privati sanzioni fino a 10 milioni di euro oppure fino al 2% del fatturato annuo mondiale dell’esercizio precedente, qualora quest’ultimo valore produca un importo superiore. Per i soggetti importanti privati il limite arriva a 7 milioni di euro oppure all’1,4% del fatturato mondiale. Il decreto stabilisce regole specifiche anche per le pubbliche amministrazioni e per ulteriori violazioni legate, ad esempio, alla registrazione, all’aggiornamento delle informazioni e alla collaborazione con l’autorità. Il modello ricorda quello già imposto in altri ambiti europei: la cybersecurity smette di essere una voce affidata esclusivamente al budget IT e diventa rischio economico e di governance. Lo stesso principio è evidente nel rapporto tra NIS2, servizi cloud e catena tecnologica analizzato nella guida di Matrice Digitale alla cloud security.

Non rischia soltanto l’azienda: entra in gioco il vertice

Uno degli aspetti più incisivi della NIS2 riguarda gli organi di amministrazione e direttivi. L’articolo 23 del decreto attribuisce loro il compito di approvare le modalità di implementazione delle misure di gestione del rischio, sovrintendere alla loro applicazione e assumere responsabilità rispetto alle violazioni. La sicurezza non può quindi essere scaricata sul CISO o sul responsabile IT attraverso una delega generica. La direzione deve sapere quale rischio sta accettando, quali misure sono state implementate, quali non lo sono ancora e con quale motivazione. Nei casi previsti dal decreto e in presenza di inottemperanza alle diffide, il sistema contempla anche misure accessorie che possono incidere sulle funzioni dirigenziali delle persone fisiche responsabili. Per questo motivo la documentazione richiesta durante una verifica non dovrebbe dimostrare soltanto che esistano strumenti tecnici, ma anche che esista una catena decisionale verificabile. Il problema è particolarmente evidente nelle infrastrutture industriali, dove convergono sicurezza digitale, continuità produttiva e responsabilità del management, come approfondito da Matrice Digitale nella guida alla sicurezza ICS e OT.

Audit, scansioni e documentazione diventano prove di sicurezza

Le FAQ rendono più chiara anche una conseguenza pratica: essere conformi e poterlo dimostrare diventano due facce dello stesso obbligo. ACN può acquisire autovalutazioni, piani di implementazione, risultati degli audit ed elementi che documentino l’attuazione delle politiche di sicurezza. Un soggetto che dispone di buone tecnologie ma non riesce a ricostruire decisioni, controlli e responsabilità può quindi trovarsi in una posizione debole quanto un’organizzazione formalmente ordinata ma tecnicamente vulnerabile. Il modello NIS2 richiede entrambe le componenti. Da un lato servono misure concrete: controllo degli accessi, gestione delle vulnerabilità, backup, continuità operativa, incident response, sicurezza della supply chain e formazione. Dall’altro servono verbali, procedure, report, inventari e risultati verificabili. È qui che la vigilanza introdotta dal decreto può rappresentare il banco di prova dell’intera architettura costruita da ACN. Matrice Digitale ha già evidenziato questo rischio analizzando la gestione interna dell’Agenzia nel passaggio da Bruno Frattasi ad Andrea Quacivi: se la NIS2 producesse soltanto una massa di documenti senza verificare la resilienza reale, la compliance diventerebbe un esercizio amministrativo. Le FAQ MVE mostrano invece quali strumenti esistano per evitare questo risultato.

La supply chain entra indirettamente nel raggio dei controlli

La capacità di dimostrare la conformità riguarda anche fornitori, cloud provider, MSP, software house e soggetti terzi dai quali dipendono i servizi NIS. Le determinazioni ACN del 2026 hanno già introdotto l’elencazione dei fornitori rilevanti e la categorizzazione delle attività e dei servizi. La vigilanza chiude il cerchio: se un’organizzazione dichiara di aver gestito il rischio della propria catena di approvvigionamento, deve poter produrre elementi che mostrino come abbia selezionato, valutato e controllato quei fornitori. Non significa che ogni fornitore di un soggetto NIS diventi automaticamente soggetto NIS, ma significa che la sua postura di sicurezza può entrare nel sistema di evidenze richiesto al cliente regolato. Contratti, SLA, obblighi di notifica, gestione degli accessi privilegiati, audit, dipendenze da subfornitori e procedure di uscita diventano quindi componenti della resilienza del soggetto principale. È una dinamica simile, pur con basi normative differenti, a quella analizzata nella guida al DORA e alla supply chain ICT, dove la sicurezza del fornitore non può più essere separata dalla continuità operativa del cliente regolato.

Per i nuovi soggetti NIS del 2026 il tempo della preparazione è già iniziato

Il chiarimento sui poteri di vigilanza arriva mentre una parte delle organizzazioni italiane sta ancora attraversando il percorso graduale previsto per i soggetti inseriti per la prima volta nell’elenco NIS nel 2026. Per questi soggetti, le determinazioni ACN pubblicate ad aprile hanno fissato al 1° gennaio 2027 l’avvio dell’obbligo di notifica degli incidenti significativi di base e al 31 luglio 2027 il termine per l’adozione delle misure di sicurezza di base. Le scadenze non significano però che fino a quelle date la preparazione possa essere rinviata. Al contrario, la nuova impostazione della vigilanza mostra perché inventari, procedure, responsabilità, assessment e piani di implementazione devono essere costruiti prima che gli obblighi diventino pienamente operativi. Il rischio maggiore sarebbe interpretare la gradualità normativa come un periodo di sospensione. Un’organizzazione che arriva alla scadenza senza avere costruito il sistema documentale e operativo necessario difficilmente potrà recuperare in poche settimane attività che richiedono mappatura dei servizi, analisi del rischio, procurement, formazione, gestione dei fornitori, incident response e continuità. Le FAQ MVE mostrano che ACN potrà osservare proprio questo processo di attuazione e non soltanto il risultato finale.

La NIS2 italiana entra nella fase della prova

Il significato più importante dell’aggiornamento ACN è quindi meno burocratico di quanto possa sembrare. Le cinque FAQ non riscrivono il decreto e non introducono una nuova disciplina: spiegano in che modo la macchina di vigilanza prevista dalla NIS2 può passare dalla norma all’esercizio concreto dei poteri. Per i soggetti essenziali significa convivere con un modello nel quale il controllo può essere preventivo; per i soggetti importanti significa sapere che un incidente, una segnalazione, un’anomalia o altri elementi di possibile violazione possono aprire la fase ispettiva. Per entrambi significa che dichiarazioni, misure e documentazione devono essere coerenti tra loro. È questo il passaggio che può determinare il successo o il fallimento dell’intero impianto italiano. Matrice Digitale ha più volte evidenziato il rischio che ACN si trasformi progressivamente in una grande autorità amministrativa della cybersecurity mentre altre componenti operative della sicurezza nazionale vengono ridiscusse tra Presidenza del Consiglio, intelligence e Difesa, tema affrontato nell’inchiesta ACN verso lo svuotamento: la cybersicurezza passa alla Difesa?. Proprio per questo la NIS2 rappresenta uno dei principali banchi di prova dell’Agenzia: dimostrare che regolazione e vigilanza producano sicurezza misurabile e non soltanto conformità amministrativa.

Continua con: Pane e Crosetto: il cyber torna militare, la sovranità resta straniera e Perimetro cibernetico, NIS2 e silenzi istituzionali: due casi italiani in quindici giorni

Dal documento alla resilienza reale

La vera novità delle FAQ ACN sta quindi nella risposta a una domanda semplice: chi controllerà che la NIS2 venga realmente applicata? La risposta è che ACN dispone di una catena di strumenti che parte dal monitoraggio e può terminare nella sanzione, passando attraverso richieste di informazioni, audit, verifiche, ispezioni, intimazioni e diffide. La differenza tra soggetti essenziali e importanti determina quanto preventivamente possa spingersi l’autorità, ma non cambia l’obiettivo finale: rendere dimostrabile il rispetto degli obblighi e correggere le situazioni di non conformità. Per imprese e pubbliche amministrazioni significa abbandonare definitivamente l’idea della NIS2 come pratica da affidare a un consulente e archiviare dopo l’invio dei moduli. La conformità diventa un processo vivo, alimentato da decisioni, evidenze, verifiche e miglioramento continuo. Per ACN, invece, comincia la fase più difficile: dimostrare che la grande quantità di informazioni raccolte attraverso registrazioni, categorizzazioni e notifiche possa essere trasformata in capacità di vigilanza proporzionata al rischio e, soprattutto, in maggiore resilienza del sistema Paese. Solo su questo risultato sarà possibile misurare se la NIS2 italiana avrà prodotto sicurezza o semplicemente una nuova infrastruttura regolatoria.