Quando in azienda si parla di NIS, la domanda che arriva per prima è quasi sempre la stessa: «e se vengono a controllarci?». Contiene un presupposto sbagliato, cioè che esista un solo evento — l’ispezione — e che tutto il resto sia attesa. Le FAQ pubblicate dall’Agenzia per la cybersicurezza nazionale descrivono una cosa diversa: un’attività continuativa, che «si fonda sulle informazioni che i soggetti trasmettono» in adempimento degli obblighi, e che comprende anche provvedimenti distinti dalle sanzioni: intimazioni e diffide.
Questo articolo ricostruisce i quattro ambiti in cui la fonte suddivide quell’attività. Gli importi delle sanzioni li abbiamo trattati in NIS2: i rischi per le PMI italiane in ritardo; qui il tema è il procedimento che porta fin lì.
I quattro ambiti della vigilanza
L’Agenzia, nella sua qualità di Autorità nazionale competente NIS, descrive la propria attività di vigilanza ed esecuzione nei confronti dei soggetti NIS con una formula precisa: essa «consiste nelle attività di cui al Capo V del decreto NIS e si svolge nei seguenti quattro ambiti»:
- monitoraggio, analisi e supporto ai soggetti NIS;
- verifiche e ispezioni;
- misure di esecuzione;
- sanzioni amministrative pecuniarie e accessorie.
La parola che la fonte usa è ambiti, non fasi: i quattro non sono presentati come i gradini di una scala, e nulla nel testo stabilisce che una misura di esecuzione debba precedere una sanzione. Anzi, la FAQ dedicata alle misure di esecuzione si chiude dicendo che il ricorso a quei poteri «non preclude l’esercizio dei poteri sanzionatori, assolvendo a funzioni tra loro diverse e complementari»: diverse e complementari significa cumulabili, non consecutive.
I quattro ambiti sono elencati per nome. Leggendo le FAQ dedicate a ciascuno si ricava l’aggancio normativo: il monitoraggio sta all’articolo 35 del decreto NIS, le verifiche e ispezioni all’articolo 36, le misure di esecuzione all’articolo 37, le sanzioni all’articolo 38. Il decreto NIS è il d.lgs. n. 138/2024, entrato in vigore il 16 ottobre 2024.
Due precisazioni della fonte contano più di quanto sembri. La prima è che l’Agenzia dichiara un «approccio graduale basato sul rischio» e indica il perimetro di ciò che monitora: gli obblighi previsti dall’articolo 7 e dal Capo IV del decreto NIS, oltre a quelli stabiliti da tre atti attuativi citati per numero — la Determinazione ACN 379887/2025, la Determinazione ACN 379907/2025 e la Determinazione ACN 136118/2024. I primi due numeri si somigliano molto e rinviano a FAQ diverse: sono le FAQ «Profili generali» a indicare la Determinazione ACN 379907, del 19 dicembre 2025, come quella con cui sono definiti gli obblighi di base in materia di misure di sicurezza e di notifica di incidente.
La seconda riguarda i principi: «Effettività, proporzionalità e dissuasività sono i principi generali che regolano lo svolgimento di tale attività», da esercitare tenendo conto delle peculiarità di ciascuna fattispecie. Su cosa significhi in concreto torniamo alla fine.
Il monitoraggio dell’articolo 35 è sistematico e continuativo
Qui sta la parte che il modello «ispezione o niente» cancella del tutto. Le FAQ definiscono il monitoraggio, l’analisi e il supporto come un’attività «a carattere sistematico e continuativo», diretta ad agevolare la conoscenza dei soggetti NIS, ad accompagnarli nell’attuazione degli obblighi e a consentire all’Agenzia di acquisire e valutare correttamente le informazioni necessarie.
Sono tre cose distinte:
- il monitoraggio è l’acquisizione di tutti gli elementi necessari a conoscere lo stato di attuazione degli obblighi da parte di ciascun soggetto, attraverso le azioni dell’articolo 35, comma 3;
- l’analisi è la valutazione complessiva delle risultanze, per stabilire l’ordine di priorità degli interventi di supporto e individuare gli indirizzi di sviluppo della regolamentazione (articolo 35, comma 5);
- il supporto è l’insieme degli interventi con cui l’Agenzia accompagna i soggetti, «agendo prima e indipendentemente dall’esercizio dei poteri ispettivi e di esecuzione».
Quell’ultima frase è la più importante del gruppo: il supporto non è la fase successiva a un controllo andato male, è un binario che corre a fianco e prima. Tra le attività di supporto la fonte indica, a titolo esemplificativo, le raccomandazioni, le FAQ, le linee guida e l’attività divulgativa svolta nei Tavoli settoriali e con le associazioni rappresentative di categoria.
Il punto operativo per una PMI è che questo monitoraggio si esercita su materiale che avete scritto voi. L’attività «si fonda sulle informazioni che i soggetti trasmettono in adempimento degli obblighi previsti dal decreto NIS, a partire da quelle rese ai fini della registrazione». La registrazione sulla piattaforma ACN va effettuata entro il 28 febbraio di ogni anno (articolo 7, comma 1), e le informazioni vanno trasmesse e aggiornate entro il 31 maggio di ogni anno, comunque non oltre 14 giorni dalla modifica: le tre scadenze stanno nelle FAQ «Profili generali». Quello che dichiarate lì dentro non finisce in un archivio: è il primo input della vigilanza. Le scadenze le abbiamo raccolte in NIS2 per le PMI italiane: timeline e perimetro.
Cosa ACN può chiedere senza aprire un’ispezione
È la situazione in cui una PMI può trovarsi senza essere sotto ispezione. Le FAQ sono esplicite: «Ove tali informazioni non siano sufficienti, l’Autorità nazionale competente NIS può acquisirne di ulteriori, richiedendo, tra l’altro, ai soggetti una rendicontazione, anche periodica, o autovalutazioni».
Tre osservazioni sul testo, perché le parole sono scelte:
- «rendicontazione, anche periodica». Non un documento una tantum: la fonte contempla che la richiesta si ripeta nel tempo.
- «autovalutazioni». La valutazione la fate voi, e il suo esito è un atto vostro che resta agli atti dell’Agenzia.
- «tra l’altro». L’elenco è dichiaratamente aperto. Notate anche cosa la fonte non nomina: la parola audit non compare. Non è corretto dire che ACN «può chiedere un audit» citando queste FAQ; l’elenco aperto, d’altra parte, non lo esclude.
Tradotto: una richiesta documentale può arrivare senza che sia stata aperta alcuna ispezione, e la risposta va costruita con la stessa serietà. Una PMI manifatturiera che riceva una richiesta di rendicontazione non ha bisogno di un piano di risposta all’ispezione: ha bisogno di sapere dove sono le evidenze delle misure che dichiara di aver adottato.
Le verifiche e le ispezioni dell’articolo 36
Questo ambito lo abbiamo già riassunto nella guida operativa completa al d.lgs. 138/2024, a cui rimandiamo per il quadro d’insieme degli obblighi. Qui interessa il dettaglio: l’Agenzia esercita i poteri di verifica e ispettivi attraverso tre azioni distinte, che il decreto separa in tre lettere.
| Azione | Riferimento | Nota |
|---|---|---|
| Verifiche della documentazione e delle informazioni trasmesse all’Autorità nazionale competente NIS | art. 36, c. 1, lett. a) | Lavora su ciò che avete già inviato |
| Ispezioni in loco e a distanza, compresi controlli casuali | art. 36, c. 1, lett. b) | È l’ispezione in senso stretto |
| Richieste di accesso a dati, documenti e altre informazioni necessari allo svolgimento di tali poteri | art. 36, c. 1, lett. c) | La richiesta va motivata: l’Agenzia dichiara la finalità e specifica le informazioni richieste |
La lettera c) merita attenzione perché impone un onere all’Agenzia, non al soggetto: la richiesta di accesso avviene «dichiarando la finalità della richiesta e specificando le informazioni richieste». Una richiesta generica non è il modello previsto dalla norma.
Sulle sole ispezioni vale poi l’asimmetria fra le due categorie di soggetto:
- verso i soggetti essenziali, le ispezioni in loco e a distanza, ivi compresi controlli casuali, «possono essere disposte anche ex ante»;
- verso i soggetti importanti, «le ispezioni non possono essere disposte ex ante. Esse possono essere disposte solo qualora l’Autorità nazionale competente NIS abbia acquisito o ricevuto elementi di prova, indicazioni o informazioni che suggeriscano possibili violazioni del decreto NIS» (articolo 36, comma 2).
Quella soglia va letta per quello che dice. «Indicazioni o informazioni che suggeriscano possibili violazioni» è un presupposto molto largo, e la fonte non lo qualifica oltre: non è una protezione forte, e presentarla come tale ai vertici aziendali sarebbe un cattivo servizio. Da notare anche che il divieto di ex ante riguarda testualmente le ispezioni: le verifiche documentali della lettera a) e le richieste di accesso della lettera c) non sono oggetto della limitazione, e la fonte non chiarisce se e come vi ricadano.
Un ultimo punto, per sottrazione: queste FAQ non indicano alcuna data di avvio o di decorrenza dei poteri ispettivi. La differenziazione che la fonte stabilisce è per categoria di soggetto, non fra un prima e un dopo.
Le misure di esecuzione dell’articolo 37: intimazioni e diffide
Il terzo ambito ha un contenuto definito con precisione. Le misure di esecuzione sono «i provvedimenti con i quali l’Autorità nazionale competente NIS richiede ai soggetti NIS di conformare la propria condotta agli obblighi previsti dal decreto, di rimediare alle carenze accertate o di far cessare le condotte assunte in violazione delle prescrizioni previste dal decreto NIS, nonché impartite dall’Agenzia».
Tre contenuti possibili, quindi: conformare, rimediare, far cessare. E due fonti di prescrizioni violabili, quelle del decreto e quelle impartite dall’Agenzia.
Da dove nascono questi provvedimenti lo dice la fonte: l’Autorità «tiene anche conto degli esiti delle attività di monitoraggio, analisi e supporto di cui all’articolo 35 e delle risultanze dell’esercizio dei poteri ispettivi di cui all’articolo 36».
Gli strumenti hanno un nome: «L’Agenzia esercita il potere di esecuzione, tramite intimazioni e diffide, indicando modalità e termini ragionevoli e proporzionati per adempiere alle stesse». Due cose vanno dette con precisione, perché è qui che si generano le aspettative sbagliate:
- non ci sono termini numerici. La fonte non fissa giorni né scadenze: qualifica i termini come ragionevoli e proporzionati, e li rimette al singolo provvedimento. Chi vi promette una scadenza fissa per rispondere a una diffida sta aggiungendo un termine che il testo non contiene.
- adempiere non chiude la partita. La FAQ si conclude così: «Il ricorso ai poteri di esecuzione non preclude l’esercizio dei poteri sanzionatori, assolvendo a funzioni tra loro diverse e complementari». Non esiste, in questa fonte, alcun effetto estintivo o premiale dell’adempimento, né alcuna garanzia che un’intimazione o una diffida debbano precedere una sanzione. Esecuzione e sanzione sono cumulabili.
Una nota di onestà: da questa pagina non è ricavabile la differenza operativa fra «intimazione» e «diffida». Sono nominate insieme e mai definite.
Sanzioni e misure accessorie: tre categorie di soggetto, non due
L’ultimo ambito è quello sanzionatorio, e la FAQ che lo copre è una sola frase, ma densa: «Benché le fattispecie di illecito amministrativo sanzionate ai sensi dell’articolo 38 del decreto NIS siano le medesime, l’entità delle sanzioni pecuniarie e l’ambito delle misure accessorie differisce a seconda che il soggetto sia essenziale, importante o una Pubblica Amministrazione».
Due informazioni utili. La prima: a differire non è solo l’importo, ma anche l’ambito delle misure accessorie, cioè la parte non pecuniaria della risposta sanzionatoria. La seconda: le categorie rilevanti sono tre, non due, perché la Pubblica Amministrazione ha un regime suo. È una distinzione che riguarda la PA in quanto essa stessa soggetto NIS: non è un regime che si estende a chi la fornisce.
Cosa siano le misure accessorie e quali importi si applichino, questa FAQ non lo dice: va letto sull’articolo 38 del decreto, che abbiamo trattato parlando dei rischi per le PMI in ritardo.
Gli otto elementi che le FAQ elencano
Se la domanda è «cosa posso fare per pesare meno, se mi trovano scoperto», la risposta più concreta sta nell’articolo 34, comma 6, del decreto NIS. Le FAQ ne riportano otto elementi, introdotti dalla formula secondo cui l’Agenzia agisce tenendo conto delle peculiarità di ciascuna fattispecie «e comunque almeno dei seguenti elementi»:
| Elemento (art. 34, c. 6, negli otto punti riportati dalle FAQ) | Lettura operativa |
|---|---|
| La gravità della violazione e l’importanza delle disposizioni violate | Non tutte le carenze pesano uguale |
| La durata della violazione | Una carenza nota e non affrontata invecchia male |
| Eventuali precedenti violazioni pertinenti commesse dal soggetto | La storia del soggetto entra nel giudizio |
| Il danno materiale o immateriale causato, incluse perdite finanziarie o economiche, effetti su altri servizi e numero di utenti interessati | Conta l’impatto reale, anche su terzi |
| Un’eventuale condotta intenzionale o negligenza | L’elemento soggettivo è considerato |
| Qualsiasi misura adottata per prevenire o attenuare il danno | Ciò che avete fatto conta, se è dimostrabile |
| L’adesione a codici di condotta o meccanismi di certificazione approvati | La fonte parla di codici di condotta e di meccanismi di certificazione approvati |
| Il livello di collaborazione con l’Autorità nazionale competente NIS | Il comportamento durante il procedimento è valutato |
La parola da non perdere è «almeno»: le FAQ presentano questi otto elementi come un minimo, non come un elenco chiuso. Non sono «i criteri» di valutazione, sono il pavimento.
Letti in fila, tre di quegli elementi dipendono da come vi comportate e non da quanto siete tecnicamente maturi: le misure adottate per prevenire o attenuare il danno, il livello di collaborazione e, indirettamente, la durata. Tutti e tre si dimostrano solo con una traccia scritta e datata: una decisione presa in riunione e non verbalizzata, in un procedimento, non esiste. Su come lasciare traccia delle decisioni degli organi di amministrazione c’è la guida dedicata alla formazione e alle responsabilità dell’articolo 23; sulle evidenze delle misure tecniche, il mapping con Microsoft 365 è il punto di partenza più rapido, e il runbook di notifica dell’incidente copre il momento in cui la collaborazione con l’Autorità diventa misurabile in ore.
Il modello mentale da sostituire
Chi si prepara solo all’ispezione si prepara a uno dei quattro ambiti, ignorando gli altri tre. C’è un monitoraggio dichiaratamente sistematico e continuativo; c’è la possibilità che vi venga chiesta una rendicontazione o un’autovalutazione senza alcuna ispezione aperta; ci sono verifiche documentali e richieste di accesso motivate; ci sono intimazioni e diffide, che la fonte non descrive come un preavviso dovuto prima della sanzione.
Per una PMI questo cambia la domanda da porsi: non «siamo pronti a un’ispezione», ma «se ci chiedessero per iscritto di rendicontare lo stato di attuazione delle misure, in quanti giorni riusciremmo a rispondere, e con quali documenti». Se la risposta è «dovremmo ricostruire tutto», il lavoro da fare non è difensivo: è ordinario, e riguarda le evidenze. Per impostarlo resta valida la nostra guida operativa completa al d.lgs. 138/2024.
Domande frequenti
La vigilanza NIS coincide con l’ispezione?
No. L’Agenzia per la cybersicurezza nazionale descrive la propria attività di vigilanza ed esecuzione come articolata in quattro ambiti: monitoraggio, analisi e supporto; verifiche e ispezioni; misure di esecuzione; sanzioni amministrative pecuniarie e accessorie. L’ispezione è uno dei quattro, non l’unico modo in cui l’Agenzia entra in contatto con un soggetto NIS.
ACN può chiedere documenti senza aprire un’ispezione?
Sì. L’attività di monitoraggio e analisi si fonda sulle informazioni che i soggetti trasmettono in adempimento degli obblighi, a partire da quelle rese ai fini della registrazione. Se non bastano, l’Autorità nazionale competente NIS può acquisirne di ulteriori richiedendo, tra l’altro, una rendicontazione, anche periodica, o autovalutazioni. L’elenco è dichiaratamente aperto.
Che differenza c’è fra soggetti essenziali e soggetti importanti sulle ispezioni?
Verso i soggetti essenziali le ispezioni in loco e a distanza, compresi controlli casuali, possono essere disposte anche ex ante. Verso i soggetti importanti no: possono essere disposte solo se l’Autorità ha acquisito o ricevuto elementi di prova, indicazioni o informazioni che suggeriscano possibili violazioni (articolo 36, comma 2, del decreto NIS).
Adempiere a una diffida mette al riparo dalla sanzione?
Le FAQ non lo affermano, e la loro formulazione va nella direzione opposta: il ricorso ai poteri di esecuzione non preclude l’esercizio dei poteri sanzionatori, perché i due assolvono a funzioni tra loro diverse e complementari. Esecuzione e sanzione vanno quindi considerate cumulabili, non alternative.
Quanto tempo dà ACN per adempiere a un’intimazione o a una diffida?
La fonte non indica giorni né scadenze fisse. Dice che l’Agenzia esercita il potere di esecuzione tramite intimazioni e diffide indicando modalità e termini ragionevoli e proporzionati per adempiere. Il termine è quindi determinato nel singolo provvedimento.
Cosa considera ACN nel graduare la propria risposta?
Il riferimento è l’articolo 34, comma 6, del decreto NIS; le FAQ ne riportano otto elementi: gravità della violazione e importanza delle disposizioni violate, durata, precedenti violazioni pertinenti, danno materiale o immateriale causato, condotta intenzionale o negligenza, misure adottate per prevenire o attenuare il danno, adesione a codici di condotta o meccanismi di certificazione approvati, livello di collaborazione con l’Autorità. La fonte dice «almeno»: è un minimo, non un elenco chiuso.
I poteri ispettivi partono da una data precisa?
Le FAQ sulla vigilanza non indicano alcuna data di avvio o di decorrenza dei poteri di monitoraggio, ispettivi, di esecuzione o sanzionatori. La differenziazione che la fonte stabilisce è per categoria di soggetto (essenziale o importante), non fra un prima e un dopo.
Fonte: Agenzia per la Cybersicurezza Nazionale, FAQ NIS — sezioni “Profili generali” (acn.gov.it) e “Monitoraggio, vigilanza ed esecuzione” (acn.gov.it), consultate il 27 agosto 2026. Questo articolo ne descrive il contenuto e non costituisce interpretazione autentica.