NIS2: nuove FAQ ACN su monitoraggio, controlli, ispezioni e sanzioni

L’Agenzia per la Cybersicurezza Nazionale (ACN), in qualità di Autorità nazionale competente NIS, ha pubblicato una nuova sezione di FAQ (MVE.1-MVE.5) dedicate a vigilanza e controlli ACN nei confronti dei soggetti NIS.

Le FAQ chiariscono come, quando e con quali criteri l’Agenzia esercita i propri poteri di controllo nell’ambito della disciplina NIS2.
Le FAQ sono disponibili sul sito ACN: Domande frequenti NIS – Monitoraggio, vigilanza ed esecuzione

L’Agenzia esercita i propri poteri secondo un approccio graduale e basato sul rischio.
La FAQ MVE.1 articola l’attività di vigilanza ed esecuzione in quattro ambiti: monitoraggio, analisi e supporto; verifiche e ispezioni; misure di esecuzione; sanzioni amministrative pecuniarie e accessorie.

L’attività di vigilanza e controlli ACN è un’attività sistematica e continuativa, distinta dall’attività ispettiva. ACN può acquisire gli elementi necessari a conoscere lo stato di attuazione degli obblighi anche attraverso rendicontazioni periodiche e autovalutazioni richieste ai soggetti, analizzarne le risultanze e affiancare le organizzazioni attraverso strumenti di supporto quali raccomandazioni, linee guida e tavoli settoriali.

Qui la distinzione tra soggetti essenziali e importanti diventa concreta. Per i soggetti essenziali l’attività ispettiva può essere esercitata ex ante, senza che sia necessario aver già acquisito elementi che suggeriscano una possibile violazione. I poteri comprendono verifiche documentali, ispezioni in loco e a distanza e controlli casuali.

Per i soggetti importanti, invece, i poteri di verifica e ispettivi si applicano quando l’ACN acquisisce o riceve elementi di prova, indicazioni o informazioni che suggeriscano possibili violazioni.

Attraverso intimazioni e diffide, l’Agenzia può richiedere ai soggetti NIS di conformarsi agli obblighi, rimediare alle carenze accertate o far cessare condotte non conformi, indicando modalità e termini “ragionevoli e proporzionati”.

Le misure di esecuzione e le sanzioni svolgono funzioni differenti: l’esercizio dei poteri di esecuzione non impedisce la contestazione delle violazioni e l’eventuale applicazione delle relative sanzioni amministrative.

La FAQ MVE.5 chiarisce che l’entità delle sanzioni pecuniarie e l’ambito delle misure accessorie variano a seconda che il soggetto sia essenziale, importante o una Pubblica Amministrazione.

Dovete considerare le verifiche e le ispezioni ex ante come un’eventualità concreta anche in assenza di precedenti segnalazioni di violazioni. Diventa quindi essenziale poter dimostrare in modo ordinato e aggiornato la compliance: log, procedure, attribuzione di ruoli e responsabilità, evidenze sulla gestione del rischio e documentazione delle attività svolte sono esempi degli elementi che possono rendere verificabile il percorso di adeguamento.

L’attività ispettiva richiede la presenza di elementi che suggeriscano possibili violazioni. Questo, però, non riduce la necessità di mantenere una compliance effettiva e documentata: informazioni emerse attraverso il monitoraggio o la gestione degli obblighi NIS possono contribuire a evidenziare eventuali criticità e, se indicano possibili violazioni, determinare l’attivazione dei poteri di verifica.

Anche per le PA la capacità di documentare nel tempo l’attuazione degli obblighi rimane centrale. La FAQ MVE.5 distingue inoltre il regime applicabile in funzione della natura del soggetto per quanto riguarda l’entità delle sanzioni pecuniarie e l’ambito delle misure accessorie.

In ogni caso, il messaggio operativo che emerge dalle FAQ è chiaro: la compliance NIS2 va gestita come un processo continuativo e documentabile, non come un adempimento una tantum da chiudere e archiviare.