NIS2, dalle scadenze alla vigilanza continua: cosa cambia con le nuove FAQ ACN dell'11 agosto 2026

L’11 agosto 2026 l’Agenzia per la Cybersicurezza Nazionale ha pubblicato cinque nuove FAQ dedicate alle attività di monitoraggio, vigilanza ed esecuzione nei confronti dei soggetti NIS.

A prima vista potrebbe sembrare un aggiornamento destinato soprattutto a chiarire quali poteri potrà esercitare ACN in caso di controllo. In realtà, le nuove FAQ hanno una portata più ampia: aiutano a comprendere come l’Agenzia intende costruire concretamente il rapporto di vigilanza con i soggetti NIS e, indirettamente, quale debba essere il modello organizzativo delle imprese che vogliono arrivare preparate a quella vigilanza.

Il passaggio è significativo. Dopo una prima fase della NIS2 dominata dall’individuazione dei soggetti, dalle registrazioni, dalle comunicazioni alla piattaforma, dalla categorizzazione e dalla costruzione delle misure di sicurezza, l’attenzione si sposta progressivamente su una domanda diversa:

il soggetto NIS è in grado di dimostrare che gli obblighi non sono soltanto formalmente adempiuti, ma realmente attuati?

Un sistema di vigilanza articolato in quattro livelli

Con la FAQ MVE.1, ACN ricostruisce l’attività di vigilanza ed esecuzione prevista dal Capo V del d.lgs. 138/2024 distinguendo quattro ambiti:

• monitoraggio, analisi e supporto;

• verifiche e ispezioni;

• misure di esecuzione;

• sanzioni amministrative pecuniarie e accessorie.

L’Agenzia precisa inoltre che l’attività sarà esercitata secondo un approccio graduale basato sul rischio, nel rispetto dei principi di effettività, proporzionalità e dissuasività e tenendo conto delle caratteristiche del singolo caso.

È un chiarimento importante perché allontana l’idea di una vigilanza costruita esclusivamente intorno alla sanzione.

Il modello delineato è piuttosto quello di una sequenza: acquisizione delle informazioni, analisi della situazione del soggetto, eventuale approfondimento, richiesta di correzione delle carenze e, nei casi più rilevanti, esercizio dei poteri sanzionatori.

La sanzione è quindi soltanto l’ultimo segmento di un sistema di supervisione molto più articolato.

Il monitoraggio non inizia con l’ispezione

Probabilmente il chiarimento più interessante è contenuto nella FAQ MVE.2.

ACN definisce infatti il monitoraggio come un’attività sistematica e continuativa, finalizzata anche ad accompagnare i soggetti nell’attuazione degli obblighi.

L’Agenzia parte anzitutto dalle informazioni che i soggetti NIS già trasmettono in applicazione della normativa: registrazione, aggiornamenti, informazioni sui propri sistemi, sui responsabili, sui fornitori e sugli altri elementi richiesti dalla disciplina.

Quando questi dati non risultino sufficienti, ACN potrà acquisire ulteriori informazioni e potrà chiedere, tra l’altro, rendicontazioni anche periodiche e autovalutazioni.

Questo punto merita particolare attenzione.

La piattaforma ACN non deve essere considerata soltanto come lo strumento attraverso il quale adempiere ad alcune scadenze amministrative.

Le informazioni progressivamente comunicate all’Agenzia costruiscono una vera e propria rappresentazione regolatoria del soggetto NIS.

Ne deriva una conseguenza pratica: le diverse informazioni trasmesse nel tempo devono essere non soltanto corrette, ma anche coerenti tra loro e con la situazione aziendale effettiva.

Categorizzazione delle attività, fornitori rilevanti, sistemi informativi, organizzazione della sicurezza, valutazione del rischio e misure adottate non sono adempimenti indipendenti. Diventano parti di uno stesso quadro che ACN può analizzare complessivamente.

Soggetti essenziali e importanti: la differenza rimane, ma non deve essere sopravvalutata

La FAQ MVE.3 chiarisce una distinzione prevista dal decreto.

Nei confronti dei soggetti essenziali, ACN può effettuare ispezioni in loco o a distanza, compresi controlli casuali, anche in via preventiva.

Per i soggetti importanti, invece, le ispezioni non possono essere disposte ex ante: occorre che l’Autorità disponga di elementi, indicazioni o informazioni che suggeriscano una possibile violazione della disciplina NIS.

Sarebbe tuttavia sbagliato ricavarne l’idea che il soggetto importante sia sostanzialmente sottratto ai controlli sino a quando non accada qualcosa di grave.

Il monitoraggio continuativo descritto dalla FAQ MVE.2 riguarda infatti entrambi i tipi di soggetti.

E proprio dall’attività di monitoraggio possono emergere quegli elementi che, per un soggetto importante, giustificano successivi approfondimenti ispettivi.

In altre parole, non essere soggetti a ispezioni preventive non significa non essere sottoposti a vigilanza preventiva.

Dalla “documentazione NIS” alle evidenze della NIS

Il decreto e le specifiche di base attribuiscono già grande importanza alla documentazione: organizzazione per la sicurezza informatica, politiche, valutazioni del rischio, piani di trattamento, continuità operativa, disaster recovery, gestione delle crisi, vulnerabilità, incidenti e formazione sono soltanto alcuni degli elementi che devono essere organizzati e mantenuti nel tempo.

Le nuove FAQ consentono però di fare un passo ulteriore.

Una politica approvata dal Consiglio di amministrazione dimostra che una determinata regola è stata adottata. Non dimostra necessariamente che quella regola sia stata effettivamente applicata.

Da qui l’importanza crescente delle evidenze.

Verbali, report periodici, risultati degli audit, registri delle attività, test di continuità operativa, verifiche sui fornitori, vulnerability assessment, documentazione degli incidenti, attività formative, monitoraggio degli accessi e aggiornamento degli asset diventano elementi attraverso i quali è possibile ricostruire l’effettiva attuazione del sistema.

La Guida ACN alle specifiche di base distingue espressamente requisiti organizzativi e tecnologici e attribuisce un ruolo significativo proprio alle evidenze documentali dell’implementazione.

Si potrebbe sintetizzare il cambio di prospettiva con una formula:

non basta più documentare ciò che l’organizzazione intende fare; occorre poter documentare ciò che ha realmente fatto.

Un impatto diretto sulla governance

Le implicazioni riguardano inevitabilmente anche gli organi di amministrazione.

Le recenti FAQ ACN sulla governance avevano già chiarito che l’approvazione degli indirizzi e della pianificazione strategica delle misure di sicurezza appartiene agli organi di amministrazione e direttivi, mentre l’attività tecnica e operativa può essere demandata alle strutture competenti.

Le FAQ sulla vigilanza completano questo quadro.

Se ACN può verificare non soltanto l’esistenza delle politiche ma la loro effettiva attuazione, anche l’attività di sovrintendenza del CdA acquista maggiore concretezza.

Diventa quindi opportuno costruire un flusso informativo periodico verso l’organo amministrativo che consenta di comprendere almeno:

lo stato di implementazione delle misure; le principali esposizioni al rischio; le criticità ancora aperte; gli incidenti significativi o comunque rilevanti; le vulnerabilità più importanti; le criticità della supply chain; lo stato dei piani di adeguamento.

Anche i verbali assumono, in questa prospettiva, un valore particolare: devono consentire di ricostruire non soltanto l’approvazione formale di una politica, ma anche il modo in cui il vertice aziendale ha esercitato nel tempo il proprio ruolo di indirizzo e supervisione.

Anche la supply chain entra nel sistema della vigilanza

Questo nuovo quadro va letto insieme alle FAQ sulla supply chain pubblicate da ACN nelle settimane precedenti.

L’Agenzia ha progressivamente chiarito come identificare i fornitori rilevanti, come valutare il rischio delle forniture e come individuare e rendere effettivi i requisiti di sicurezza applicabili ai fornitori.

Ora sappiamo anche che le informazioni trasmesse ad ACN possono alimentare l’attività di monitoraggio.

Ne consegue che la gestione del fornitore deve essere pensata fin dall’origine anche in funzione della verificabilità.

I contratti con i fornitori tecnologici e con quelli maggiormente rilevanti dovrebbero quindi consentire al soggetto NIS di acquisire le informazioni e le evidenze necessarie per dimostrare a propria volta la conformità: obblighi informativi, gestione degli incidenti, cooperazione negli audit, comunicazione delle vulnerabilità, continuità del servizio e possibilità di verificare il rispetto dei requisiti concordati diventano aspetti sempre meno accessori.

Il soggetto NIS resta infatti responsabile della propria gestione del rischio anche quando una parte delle attività è affidata all'esterno.

Gli incidenti possono diventare un punto di ingresso della vigilanza

Anche la gestione degli incidenti deve essere letta nella stessa prospettiva.

Il decreto attribuisce ad ACN la possibilità di richiedere audit mirati, in particolare in presenza di incidenti significativi o di possibili violazioni, nonché di richiedere informazioni ed elementi di prova sull’attuazione delle misure.

Un incidente informatico non rappresenta quindi soltanto un evento operativo da contenere e, quando necessario, notificare al CSIRT Italia.

Può diventare anche il momento nel quale viene verificata a posteriori l’intera organizzazione che avrebbe dovuto prevenirlo, individuarlo, contenerlo e gestirlo.

Diventa perciò fondamentale conservare la documentazione delle decisioni assunte durante l’incidente, delle analisi svolte, delle misure adottate e delle successive attività di miglioramento.

La collaborazione con ACN non è irrilevante

C’è infine un ulteriore elemento che merita attenzione.

Tra i criteri che il decreto impone di considerare nell’esercizio dei poteri di vigilanza e sanzionatori figurano, tra gli altri, la gravità e la durata della violazione, l’eventuale intenzionalità o negligenza, le misure adottate per prevenire o attenuare il danno e il livello di collaborazione con l’Autorità.

La costruzione di un rapporto corretto e trasparente con ACN non costituisce dunque soltanto una buona pratica istituzionale: può assumere rilievo anche nella valutazione concreta delle eventuali violazioni.

Al contrario, il decreto considera particolarmente rilevanti, tra l’altro, l’ostacolo alle attività di vigilanza e la trasmissione di informazioni false o gravemente inesatte.

Anche per questo la gestione delle comunicazioni verso ACN dovrebbe diventare un processo aziendale strutturato, con responsabilità definite e adeguate verifiche interne.

La vera novità: prepararsi al controllo prima del controllo

Le cinque nuove FAQ non introducono nuovi obblighi sostanziali. I poteri dell’Autorità erano già previsti dagli articoli 34 e seguenti del d.lgs. 138/2024.

La loro importanza consiste però nel rendere molto più chiaro come ACN interpreta e intende utilizzare quel sistema di poteri.

Il messaggio che se ne può ricavare è abbastanza netto.

La compliance NIS2 non può più essere organizzata come una successione di scadenze da rispettare.

Deve diventare un processo permanente di gestione del rischio, verifica dell’attuazione e produzione delle relative evidenze.

Per molte organizzazioni questo comporterà un ulteriore salto di qualità: dopo aver costruito politiche, procedure e misure tecniche, occorrerà verificare se il sistema è realmente in grado di sostenere una richiesta di informazioni, un’autovalutazione, un audit o un’ispezione.

La domanda da porsi, quindi, non è più soltanto:

“Abbiamo adottato le misure previste dalla NIS2?”

ma anche:

“Se ACN ce lo chiedesse domani, saremmo in grado di dimostrare in modo rapido, coerente e documentato come le stiamo applicando?”

È probabilmente questa la principale implicazione delle FAQ dell’11 agosto.

La NIS2 sta progressivamente passando dalla fase della costruzione delle regole alla fase della loro verificabilità concreta.

E, per i soggetti NIS, prepararsi alla vigilanza diventa ormai parte integrante dell’adeguamento stesso.

Fonti principali: Agenzia per la Cybersicurezza Nazionale, FAQ MVE.1–MVE.5 pubblicate l’11 agosto 2026; d.lgs. 4 settembre 2024, n. 138, artt. 34-38; Determinazione ACN n. 379907/2025 e relative specifiche di base; FAQ ACN sulla governance e sulla sicurezza della supply chain.