NIS 2, nuove FAQ ACN su controlli, vigilanza e sanzioni

 L’11 agosto 2026 l’Agenzia per la cybersicurezza nazionale ha pubblicato una nuova sezione delle FAQ dedicate alla disciplina NIS, specificamente rivolta alle attività di monitoraggio, vigilanza ed esecuzione nei confronti dei soggetti NIS. L’intervento si colloca in una fase nuova rispetto alle FAQ sinora rilasciate da ACN, dedicate agli obblighi degli organi di amministrazione e direttivi. Mentre queste ultime erano orientate a chiarire la dimensione della governance e le responsabilità interne all’organizzazione, quelle in commento sono relative al momento in cui la conformità alla disciplina viene sottoposta alla verifica dell’Autorità.
Il passaggio è significativo anche sul piano pratico. Con l’avanzare dell’attuazione della disciplina, per i soggetti NIS non sarà più sufficiente interrogarsi sull’esistenza dell’obbligo o sull’adozione formale delle misure richieste: diventa necessario considerare come l’adempimento possa essere verificato, quali informazioni debbano essere messe a disposizione dell’Autorità, quali siano gli obblighi di collaborazione e quali conseguenze possano derivare da una situazione di non conformità.
È precisamente su questi profili che interviene la nuova sezione delle FAQ ACN, articolata nei quesiti MVE.1-MVE.5. L’interesse dell’intervento non consiste, pertanto, nell’introdurre nuovi obblighi sostanziali rispetto a quelli già previsti dal decreto, quanto nel fornire indicazioni sull’applicazione concreta dei poteri di monitoraggio, vigilanza ed esecuzione attribuiti all’Autorità e sul diverso trattamento riservato ai soggetti essenziali e importanti. È un esercizio di consapevolezza organizzativa prima ancora che di compliance normativa. In tema abbiamo pubblicato il Master in Cybersecurity e compliance integrata – NIS2, GDPR, DORA, AI Act e CRA: le interazioni e gli obblighi per imprese e pubbliche amministrazioni. Abbiamo anche pubblicato il volume NIS 2 ed Evoluzione della Cybersicurezza Nazionale, disponibile su Shop Maggioli e su Amazon

1. Monitoraggio, vigilanza ed esecuzione: il nuovo livello della compliance NIS2

La distinzione tra monitoraggio, vigilanza ed esecuzione individua tre differenti funzioni attraverso le quali l’Autorità può acquisire conoscenza della situazione dei soggetti sottoposti alla disciplina, verificarne la conformità e, ove necessario, intervenire per assicurare il rispetto degli obblighi.
Il monitoraggio costituisce il primo livello di osservazione. Esso consente all’Autorità di acquisire gli elementi necessari per conoscere e valutare il livello di conformità dei soggetti NIS. La vigilanza introduce invece una dimensione più propriamente accertativa, attraverso l’esercizio dei poteri che il decreto attribuisce all’ACN per verificare il rispetto della disciplina. L’esecuzione si colloca infine nella fase patologica, quando dall’attività di controllo emergano violazioni o situazioni di non conformità che richiedano l’adozione delle misure previste dall’ordinamento.
Questa articolazione riflette l’impostazione della direttiva (UE) 2022/2555, che agli artt. 31 e seguenti disciplina le attività di supervisione e di controllo sui soggetti essenziali e importanti, distinguendo anche l’intensità dei poteri esercitabili nei confronti delle due categorie. Il decreto nazionale traduce tale impostazione attribuendo all’ACN una funzione che non è soltanto regolatoria o di indirizzo, ma anche di verifica e di enforcement.
Il modello delineato dal legislatore, la cui ratio emerge anche dalla lettura delle nuove FAQ in commento, presuppone una conformità suscettibile di essere osservata, verificata e dimostrata nel corso del tempo, giammai da intendersi come risultato statico raggiunto semplicemente attraverso l’adozione di un insieme di documenti e misure.
Le nuove FAQ spostano il punto di osservazione all’esterno dell’organizzazione: non si tratta più soltanto di stabilire chi debba assicurare la compliance, ma di comprendere come ACN possa verificarla e quali effetti produca l’esito di tale verifica.
Da questa prospettiva, assume particolare importanza anche la distinzione tra attività di controllo e misure di esecuzione. L’accertamento di una criticità non coincide necessariamente con l’immediata applicazione di una sanzione: il sistema prevede strumenti differenti, la cui funzione deve essere ricostruita alla luce della natura della violazione, della posizione del soggetto interessato e delle specifiche disposizioni del decreto.
Le FAQ MVE si inseriscono dunque in un momento particolarmente significativo dell’attuazione della disciplina. Dopo la fase nella quale i soggetti hanno dovuto identificare il proprio perimetro NIS e organizzare gli adempimenti richiesti, l’attenzione dell’ordinamento si sposta progressivamente sulla verificabilità della compliance. L’adozione di una misura di sicurezza, di una procedura o di un processo organizzativo assume valore anche in funzione della possibilità di dimostrarne l’esistenza, l’adeguatezza e l’effettiva attuazione.
È su questo terreno che le singole FAQ acquistano il loro specifico rilievo interpretativo: esse permettono infatti di comprendere quali siano gli strumenti attraverso i quali l’ACN può acquisire informazioni, quali siano i margini dell’attività di vigilanza e, soprattutto, quale sia il passaggio dalla verifica della conformità all’esercizio dei poteri di esecuzione. Per approfondire il tema, abbiamo pubblicato il volume NIS 2 ed Evoluzione della Cybersicurezza Nazionale, disponibile su Shop Maggioli e su Amazon.

2. Le nuove FAQ ACN sul monitoraggio, sulla vigilanza e sull’esecuzione

La nuova sezione delle FAQ MVE fornisce indicazioni utili a comprendere come i poteri di controllo di cui ACN dispone, già chiaramente desumibile dal Capo V del d.lgs. n. 138/2024, possano essere esercitati e quale sia la posizione del soggetto NIS nel corso dell’attività di controllo.
Un primo elemento di rilievo è rappresentato dalla distinzione tra l’attività di monitoraggio e quella di vigilanza. La prima risponde a una funzione conoscitiva e di osservazione della conformità, mentre la seconda si caratterizza per l’esercizio dei poteri espressamente attribuiti all’Autorità. Tale distinzione assume conseguenze concrete perché consente di comprendere che il rapporto tra ACN e soggetto NIS non si esaurisce nell’eventuale verifica ispettiva: l’Autorità può acquisire informazioni e svolgere attività di monitoraggio anche al fine di orientare e programmare la successiva attività di vigilanza.
La disciplina nazionale deve essere letta, sotto questo profilo, in coordinamento con gli artt. 31 e 32 della direttiva (UE) 2022/2555. Il legislatore europeo distingue infatti la supervisione dei soggetti essenziali da quella dei soggetti importanti, prevedendo per i primi un regime di supervisione più intenso e, per i secondi, una logica prevalentemente successiva all’acquisizione di elementi che facciano presumere una violazione. È una differenza che tornerà ad assumere rilievo nell’esame della FAQ MVE.5.

2.1. Il monitoraggio come strumento di conoscenza della compliance

Il primo gruppo di indicazioni dell’ACN deve essere letto alla luce della funzione attribuita al monitoraggio. L’attività dell’Autorità non presuppone necessariamente che sia già stata accertata una violazione: la raccolta di informazioni costituisce, infatti, uno strumento attraverso il quale l’ACN può acquisire gli elementi necessari per valutare il livello di attuazione della disciplina NIS.
La compliance diventa così una situazione rispetto alla quale l’Autorità può richiedere elementi conoscitivi e documentali idonei a verificarne l’effettività non solo una condizione che l’organizzazione deve semplicemente dichiarare di possedere. Il soggetto NIS, infatti, dovrebbe essere in grado di ricostruire, in modo ordinato, il percorso attraverso il quale ha dato attuazione agli obblighi. Non si tratta soltanto di conservare le policy di sicurezza, ma di poter collegare le regole interne alle attività concretamente svolte, alle verifiche effettuate e alle eventuali azioni correttive adottate, metodo di lavoro già introdotto da tempo dal principio di accountability (previsto all’art. 25 del GDPR).
Il monitoraggio assume così una funzione anticipatoria rispetto alla vigilanza propriamente detta. L’acquisizione di informazioni consente all’Autorità di costruire un quadro della situazione del soggetto e, ove emergano elementi problematici, di procedere con gli strumenti di controllo previsti dalla disciplina.

2.2. La vigilanza e il dovere di collaborazione

La seconda dimensione riguarda l’attività di vigilanza. Qui il rapporto con l’Autorità assume una natura maggiormente procedimentalizzata: il soggetto NIS è chiamato a confrontarsi con richieste e verifiche che non dipendono dalla sua autonoma iniziativa.
Il d.lgs. n. 138/2024 attribuisce all’ACN specifici poteri di vigilanza, tra i quali rientra la possibilità di richiedere informazioni e documenti e di procedere alle verifiche previste dalla disciplina. La collaborazione dell’organizzazione sottoposta a controllo diventa pertanto una componente essenziale della corretta gestione del procedimento.
In altri termini, il controllo ACN può mettere in evidenza non soltanto l’assenza di una determinata misura, ma anche eventuali disallineamenti tra documentazione e prassi operativa. Una procedura formalmente approvata, ma mai applicata, rappresenta infatti un’evidenza potenzialmente problematica proprio perché consente all’Autorità di confrontare il modello organizzativo dichiarato con la sua concreta attuazione.
La vigilanza assume dunque una funzione diversa rispetto alla mera acquisizione di informazioni. Attraverso di essa l’Autorità può verificare se il sistema predisposto dal soggetto NIS sia effettivamente conforme alle prescrizioni normative e se le misure adottate siano concretamente operative.

2.3. Dalla verifica della non conformità alle misure di esecuzione

Il terzo passaggio è quello dell’esecuzione. Anche sotto questo profilo è opportuno evitare una sovrapposizione tra concetti differenti: l’accertamento di una carenza non coincide automaticamente con l’applicazione di una sanzione.
La disciplina NIS 2 costruisce infatti un sistema nel quale l’Autorità dispone di diversi strumenti per reagire alla non conformità. Accanto alle sanzioni amministrative pecuniarie, assumono rilievo le misure volte a ottenere il ripristino della conformità, secondo una logica nella quale l’enforcement non ha esclusivamente una funzione punitiva, ma anche e soprattutto una funzione di correzione della situazione di rischio.
È questa una delle chiavi di lettura più interessanti delle nuove FAQ: l’attività dell’ACN deve essere osservata lungo una sequenza nella quale monitoraggio e vigilanza consentono di acquisire e verificare le informazioni, mentre le misure di esecuzione intervengono quando la situazione accertata richiede un intervento dell’Autorità.
La distinzione assume particolare rilievo anche ai fini della proporzionalità. L’intervento dell’Autorità deve essere rapportato alla natura della violazione e alla posizione del soggetto interessato, secondo il sistema delineato dal decreto e dalla direttiva. La sanzione non rappresenta, quindi, l’unico possibile esito della verifica: occorre distinguere tra strumenti destinati a far cessare o correggere la non conformità e strumenti destinati a reprimere la violazione attraverso una sanzione.

3. Soggetti essenziali e soggetti importanti: la differenza emerge anche nella fase sanzionatoria

La distinzione tra soggetti essenziali e soggetti importanti acquista una nuova concretezza quando si passa dalla disciplina degli obblighi alla disciplina della loro violazione. La direttiva (UE) 2022/2555 non ha infatti costruito un sistema di vigilanza uniforme: agli artt. 31 e 32 differenzia l’intensità della supervisione, mentre l’art. 34 disciplina le sanzioni amministrative applicabili dagli Stati membri.
Sul piano nazionale, il riferimento è alle disposizioni sanzionatorie del d.lgs. n. 138/2024, che devono essere lette insieme alla disciplina delle misure di esecuzione. Ne emerge un sistema nel quale la qualificazione del soggetto continua a produrre effetti anche nella fase patologica del rapporto con l’Autorità.
La FAQ MVE.5 chiarisce infatti che benché le fattispecie di illecito amministrativo sanzionate ai sensi dell’articolo 38 del decreto NIS siano le medesime, l’entità delle sanzioni pecuniarie e l’ambito delle misure accessorie differisce a seconda che il soggetto sia essenziale, importante o una Pubblica Amministrazione
La differenza è particolarmente evidente se si considera il diverso modello di supervisione previsto dalla direttiva: per i soggetti essenziali la vigilanza può essere esercitata anche ex ante e in modo sistematico, mentre per i soggetti importanti l’attività di supervisione è prevalentemente ex post, sulla base di elementi che facciano presumere una violazione. La classificazione assume così una duplice rilevanza: da un lato incide sulla modalità di controllo, dall’altro concorre a determinare il quadro delle conseguenze applicabili in caso di inosservanza.
È questo, probabilmente, uno degli aspetti più interessanti delle nuove FAQ: la distinzione tra soggetti essenziali e importanti, spesso affrontata nella fase iniziale di individuazione del perimetro NIS, torna a manifestare la propria rilevanza proprio quando il sistema entra nella fase del controllo e dell’enforcement.

4. Prepararsi al controllo ACN: la compliance deve essere dimostrabile

Il soggetto NIS deve essere in grado di fornire all’Autorità elementi che consentano di ricostruire non soltanto quali misure siano state formalmente adottate, ma anche quando siano state adottate, da chi, con quali modalità siano state attuate e attraverso quali verifiche ne sia stata valutata l’efficacia.
In questa prospettiva, la documentazione della compliance assume una funzione ulteriore rispetto a quella organizzativa interna. Policy, procedure, verbali, registri, report, evidenze delle attività formative, risultati degli assessment, test di sicurezza e documentazione relativa agli incidenti possono costituire, a seconda dei casi, elementi attraverso i quali dimostrare all’Autorità l’effettiva attuazione degli obblighi.
La questione è particolarmente evidente con riferimento all’art. 21 del d.lgs. n. 138/2024, che impone ai soggetti NIS di adottare misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi posti alla sicurezza dei sistemi informativi e di rete. La valutazione della conformità non può quindi fermarsi all’esistenza astratta di una policy: occorre verificare se il sistema organizzativo concretamente predisposto sia coerente con i rischi individuati e se le misure previste siano effettivamente operative.
Ne deriva l’opportunità di predisporre una sorta di fascicolo della compliance NIS, inteso non necessariamente come un unico documento, ma come un insieme ordinato di evidenze attraverso le quali l’organizzazione possa ricostruire il proprio percorso di adeguamento. Al suo interno dovrebbero trovare collocazione, in modo coerente e facilmente reperibile, le principali policy e procedure, le valutazioni del rischio, la documentazione relativa alle misure adottate, le verifiche periodiche, gli eventuali audit, le attività formative e le evidenze delle azioni correttive intraprese.
Si tratta, ancora una volta, dello stesso “metodo di lavoro” che il GDPR ci ha insegnato ad osservare per poter essere poi in grado di dimostrare l’adeguatezza delle scelte a suo tempo intraprese (accountability) anche in termini di misure di sicurezza tecniche e organizzative.
Al contrario, una documentazione frammentata, non aggiornata o contraddittoria può rendere difficoltosa la dimostrazione della conformità anche quando, sul piano sostanziale, alcune misure siano state effettivamente adottate.
La prospettiva della vigilanza impone dunque di prestare attenzione anche alla coerenza verticale della documentazione: ciò che è previsto nelle policy dovrebbe trovare corrispondenza nelle procedure operative; queste ultime dovrebbero riflettersi nelle attività concretamente svolte; le attività dovrebbero produrre evidenze verificabili; eventuali criticità dovrebbero essere registrate e accompagnate da azioni correttive e da una successiva verifica della loro risoluzione.
Questo approccio consente inoltre di affrontare in modo più consapevole un eventuale rilievo dell’Autorità. La presenza di una non conformità non deve necessariamente essere interpretata come dimostrazione del fallimento dell’intero sistema. Un’organizzazione capace di individuare tempestivamente una carenza, documentarla, attribuire la responsabilità della sua gestione, adottare una misura correttiva e verificarne l’efficacia dimostra infatti un livello di maturità della governance della sicurezza diverso rispetto a quello di un’organizzazione che non sia in grado di ricostruire il proprio processo decisionale.
La documentazione, in altri termini, non costituisce una forma di tutela meramente formale. Essa permette di rendere verificabile il processo di gestione del rischio e di dimostrare che gli obblighi NIS sono stati inseriti all’interno di un sistema organizzativo effettivamente operativo.
È anche per questa ragione che le nuove FAQ assumono un rilievo che va oltre la semplice descrizione dei poteri dell’ACN. Esse suggeriscono indirettamente ai soggetti NIS di prepararsi a una fase nella quale la conformità potrà essere sottoposta a una verifica concreta e nella quale la capacità di produrre evidenze coerenti potrà assumere un peso significativo.

5. Conclusioni

Le nuove FAQ di ACN segnano un ulteriore passaggio nell’attuazione della disciplina NIS 2. Se la prima fase è stata caratterizzata dalla definizione del perimetro soggettivo e dall’organizzazione degli adempimenti, il sistema entra ora sempre più chiaramente nella dimensione della verifica della conformità.
Il dato più significativo non consiste, quindi, nell’introduzione di nuovi obblighi sostanziali, quanto nella progressiva definizione del rapporto tra soggetto NIS e Autorità nella fase del controllo. Monitoraggio, vigilanza ed esecuzione rappresentano momenti distinti di un unico sistema nel quale l’ACN può acquisire informazioni, verificarne la conformità e, ove necessario, adottare le misure previste dall’ordinamento.
In questo quadro, la FAQ MVE.5 evidenzia inoltre come la distinzione tra soggetti essenziali e importanti continui a produrre effetti anche nella fase patologica, incidendo tanto sulle modalità della supervisione quanto sul quadro sanzionatorio. La classificazione, pertanto, non rappresenta un adempimento meramente preliminare, ma continua a rilevare lungo l’intero ciclo di applicazione della disciplina.
Per i soggetti NIS la conseguenza più immediata è l’esigenza di considerare la compliance sotto una prospettiva diversa. Non è sufficiente poter affermare di avere adottato una determinata misura: occorre essere in grado di dimostrarne l’effettiva attuazione e di ricostruirne nel tempo l’evoluzione. La capacità di produrre evidenze coerenti, aggiornate e facilmente verificabili diventa così parte integrante della stessa compliance.

Formazione per professionisti

Master in Cybersecurity e compliance integrata – NIS2, GDPR, DORA, AI Act e CRA: le interazioni e gli obblighi per imprese e pubbliche amministrazioni
Il Master, giunto alla III edizione, è un percorso formativo avanzato pensato per imprese e pubbliche amministrazioni, professionisti, DPO, responsabili IT, compliance officer e consulenti legali che operano nel settore della sicurezza informatica e della governance normativa delle tecnologie digitali.
L’obiettivo del programma è fornire una visione sistematica, integrata e aggiornata della normativa europea e italiana in materia di cybersicurezza, affrontando in chiave applicativa i principali riferimenti normativi, dalle Direttive NIS alla regolamentazione dei sistemi di intelligenza artificiale, passando per i regolamenti complementari e gli atti attuativi nazionali.
Attraverso un approccio teorico-pratico, il master esplora:
• L’evoluzione della strategia europea di cybersicurezza.
• L’impianto della Direttiva NIS 2 e il D.lgs. 138/2024, con approfondimento su soggetti obbligati, misure tecniche e regimi sanzionatori.
• Il Perimetro nazionale di sicurezza cibernetica e la Legge n. 90/2024 come strumenti di difesa strategica dello Stato.
• Le interazioni con normative chiave come il GDPR, il Cybersecurity Act, il Digital Operational Resilience Act (DORA) e il Cyber Resilience Act (CRA).
• Il regolamento AI Act, che disciplina lo sviluppo, l’uso e il controllo dei sistemi di intelligenza artificiale in Europa.
• Le responsabilità aziendali e degli amministratori, la governance interna della cybersicurezza e le strategie di compliance integrata.
Il percorso è arricchito da esempi pratici, simulazioni di audit, check list operative e riferimenti normativi aggiornati, utili per implementare con efficacia le disposizioni di legge nei diversi contesti organizzativi.
>>>Per info ed iscrizioni<<<

Vuoi ricevere aggiornamenti costanti?

Salva questa pagina nella tua Area riservata di Diritto.it e riceverai le notifiche per tutte le pubblicazioni in materia. Inoltre, con le nostre Newsletter riceverai settimanalmente tutte le novità normative e giurisprudenziali!
Iscriviti!