L’11 agosto 2026 l’Agenzia per la Cybersicurezza Nazionale (ACN) ha pubblicato cinque nuove FAQ dedicate alle attività di monitoraggio, vigilanza ed esecuzione nei confronti dei soggetti NIS. I chiarimenti spiegano come l’Autorità verificherà concretamente il rispetto degli obblighi previsti dal D.Lgs. 138/2024.
- 1 – Struttura della vigilanza. ACN articola la propria attività in quattro aree: monitoraggio, analisi e supporto; verifiche e ispezioni; misure di esecuzione; sanzioni amministrative. L’approccio sarà graduale, basato sul rischio, proporzionato ed effettivo.
- 2 – Monitoraggio, analisi e supporto. Queste attività hanno carattere sistematico e continuativo. ACN acquisisce informazioni sullo stato di attuazione degli obblighi, ne analizza le risultanze e supporta i soggetti tramite raccomandazioni, linee guida, FAQ e iniziative divulgative.
- 3 – Verifiche e ispezioni. Le ispezioni ex ante, cioè svolte anche in assenza di specifici segnali di criticità, possono riguardare esclusivamente i soggetti essenziali. Per i soggetti importanti la supervisione è invece ordinariamente ex post.
- 4 – Misure di esecuzione. In presenza di carenze, ACN può imporre al soggetto di conformarsi, rimediare alle violazioni o cessare comportamenti non conformi, anche mediante intimazioni e diffide.
- 5 – Sanzioni. Entità delle sanzioni pecuniarie e misure accessorie cambiano in funzione della qualifica del soggetto: essenziale, importante o Pubblica Amministrazione.
Per le organizzazioni NIS diventa quindi fondamentale non solo essere conformi, ma poter dimostrare nel tempo misure adottate, controlli svolti, incidenti gestiti e azioni correttive. La conformità dovrà quindi essere documentata, tracciabile e costantemente aggiornata.
Vi ricordiamo che per i soggetti già inseriti nell’elenco NIS nel 2025, il termine per adottare le misure di sicurezza di base è fissato in 18 mesi dalla data di ricezione della comunicazione ACN di inserimento nell’elenco. Pertanto, per la maggior parte delle imprese inserite nel 2025, la scadenza cade nel mese di ottobre 2026.
