L’Agenzia per la cybersicurezza nazionale (ACN) ha aggiornato le proprie FAQ concernenti la NIS (Direttiva 2022/2555/UE) e le attività di monitoraggio, vigilanza ed esecuzione.
In particolare le FAQ richiedono:
- di definire in cosa si sostanzi l’attività di vigilanza ed esecuzione dell’Autorità nazionale competente NIS e quali siano i principi generali che la disciplinano.
L’Agenzia ha precisato che la citata attività dell’Agenzia, in quanto Autorità nazionale competente NIS, nei confronti dei soggetti NIS si articola in quattro principali aree:
-
- monitoraggio, analisi e supporto
- verifiche e ispezioni
- misure esecutive
- sanzioni amministrative pecuniarie e accessorie.
Attraverso un approccio graduale e basato sul rischio, l’Agenzia verifica il rispetto degli obblighi previsti dal decreto NIS sulla gestione dei rischi di sicurezza informatica e notifica degli incidenti, nonché delle ulteriori disposizioni stabilite dalle Determinazioni ACN 379887/2025, 379907/2025 e 136118/2024.
L’attività di vigilanza è guidata dai principi di effettività, proporzionalità e dissuasività, tenendo conto delle caratteristiche di ciascun caso. In particolare, vengono valutati la gravità e la durata della violazione, eventuali precedenti, i danni provocati e il numero di utenti coinvolti, la presenza di intenzionalità o negligenza, le misure adottate per prevenire o limitare i danni, l’eventuale adesione a codici di condotta o sistemi di certificazione e il grado di collaborazione prestato nei confronti dell’Autorità.
- di definire in cosa consista l’attività di monitoraggio, analisi e supporto prevista dall’art. 35 del decreto NIS.
L’Agenzia precisa come la citata attività rappresenti il suo primo livello dell’attività di vigilanza: si tratta di un’attività continuativa e strutturata volta a conoscere i soggetti NIS, accompagnarli nell’attuazione degli obblighi e raccogliere le informazioni necessarie.
Più concretamente:
-
- il monitoraggio si sostanzia nella raccolta delle informazioni utili a verificare lo stato di attuazione degli obblighi
- l’analisi riguarda la valutazione dei dati acquisiti, allo scopo di definire le priorità degli interventi e orientare l’evoluzione della regolamentazione
- il supporto comprende le iniziative con cui l’Agenzia assiste i soggetti NIS nell’adempimento, anche prima dell’eventuale esercizio dei poteri ispettivi e sanzionatori.
Il monitoraggio e l’analisi si basano principalmente sui dati forniti dai soggetti NIS, anche in sede di registrazione. Nell’ipotesi in cui questi risultino insufficienti, l’Agenzia può richiedere ulteriori informazioni, rendicontazioni o autovalutazioni.
Tra le attività di supporto rientrano, infine, raccomandazioni, FAQ, linee guida e iniziative informative e divulgative, anche attraverso i Tavoli settoriali e la collaborazione con le associazioni di categoria.
- di specificare se le attività di verifica e ispezione ai sensi dell’art. 36 del decreto NIS siano differenziate per i soggetti importanti ed essenziali.
L’ACN ha risposto positivamente precisando che le modalità di verifica variano in base alla categoria del soggetto NIS:
-
- per i soggetti essenziali, le ispezioni possono essere effettuate anche preventivamente
- per i soggetti importanti, invece, i controlli ispettivi possono essere avviati soltanto quando l’Autorità disponga di elementi di prova, indicazioni o informazioni che facciano presumere una possibile violazione del decreto NIS.
I poteri di controllo e ispezione dell’Agenzia, si precisa, comprendono:
-
- l’esame della documentazione e dei dati trasmessi all’Autorità
- le ispezioni in loco o da remoto, anche mediante controlli casuali
- la richiesta di dati, documenti e ulteriori informazioni, indicando le ragioni della richiesta e gli elementi necessari.
- di precisare in cosa consistano le misure di esecuzione previste dall’art. 37 del decreto NIS.
Tali misure consistono in provvedimenti tramite cui l’Autorità competente richiede ai soggetti NIS di adeguarsi agli obblighi normativi, correggere le irregolarità riscontrate o interrompere le condotte non conformi al decreto e alle prescrizioni dell’Agenzia.
A tale scopo, l’Autorità considera anche gli esiti delle attività di monitoraggio, analisi e supporto di cui all’art. 35 e delle risultanze dell’esercizio dei poteri ispettivi di cui all’articolo 36.
L’Agenzia esercita il potere di esecuzione, attraverso intimazioni e diffide, indicando modalità e termini ragionevoli e proporzionati per adempiere alle stesse.
Il ricorso ai poteri di esecuzione non preclude l’esercizio dei poteri sanzionatori, poiché le due tipologie di intervento svolgono funzioni differenti e complementari.
- di precisare se ai soggetti importanti ed essenziali si applichino le medesime sanzioni.
L’Agenzia risponde negativamente precisando come nonostante le fattispecie di illecito sanzionate ex art. 38 del decreto NIS siano le medesime, l’entità delle sanzioni pecuniarie e l’ambito delle misure accessorie differisca a seconda che il soggetto sia essenziale, importante o una PA.
