NIS2: ACN pubblica le FAQ sulle attività di monitoraggio, vigilanza ed esecuzione nei confronti dei soggetti NIS
L’Agenzia per la Cybersicurezza Nazionale (ACN) ha pubblicato una nuova sezione delle FAQ dedicata alle attività di monitoraggio, vigilanza ed esecuzione nei confronti dei soggetti rientranti nell’ambito di applicazione della disciplina NIS.
L’iniziativa fornisce chiarimenti sulle modalità attraverso cui l’Autorità esercita i poteri attribuiti dal Decreto legislativo 4 settembre 2024, n. 138, recante attuazione della Direttiva 2022/2555/UE, e contribuisce a delineare con maggiore precisione il rapporto tra gli obblighi posti a carico dei soggetti NIS e le attività di controllo dell’Autorità.
Le FAQ chiariscono il perimetro delle attività di monitoraggio, analisi e supporto, che costituiscono una componente essenziale del sistema di supervisione previsto dalla disciplina NIS2. Tali attività sono finalizzate ad acquisire informazioni sul livello di conformità dei soggetti interessati e sull’effettiva attuazione delle misure di gestione del rischio per la sicurezza informatica. L’attività dell’ACN non si esaurisce, quindi, nell’accertamento di eventuali violazioni. Assume rilievo anche la funzione di accompagnamento e supporto all’adempimento degli obblighi normativi.
Particolare rilievo assume inoltre l’attività di verifica e ispezione. Il quadro delineato dall’ACN consente di distinguere le diverse modalità di intervento dell’Autorità in funzione della natura del soggetto e del livello di rischio rilevato. Le attività di vigilanza devono essere interpretate nel più ampio contesto di un modello fondato sulla proporzionalità e sull’approccio basato sul rischio, coerente con la struttura della Direttiva NIS2 e del relativo recepimento nazionale.
Le FAQ affrontano anche le misure di esecuzione che possono essere adottate nei confronti dei soggetti NIS. L’azione dell’Autorità può essere finalizzata a ottenere la cessazione di condotte non conformi, l’adozione delle misure necessarie per rimediare alle carenze individuate e il ripristino della conformità agli obblighi applicabili. In questo quadro assumono rilievo gli strumenti di intervento previsti dalla normativa nazionale, comprese le eventuali intimazioni e diffide.
L’aggiornamento delle FAQ assume particolare importanza anche sotto il profilo della responsabilizzazione degli organi di governance. La conformità alla disciplina NIS2 non può essere valutata esclusivamente sulla base dell’esistenza formale di policy e procedure. I soggetti interessati devono essere in grado di dimostrare l’effettiva implementazione e il costante aggiornamento delle misure di sicurezza adottate. Diviene pertanto essenziale assicurare un adeguato sistema di governance, controllo interno e documentazione, idoneo a fornire evidenza delle attività svolte e delle decisioni assunte. L’intervento dell’ACN conferma così il progressivo passaggio a un modello di cybersicurezza fondato sull’accountability e sulla verifica sostanziale della conformità, nel quale monitoraggio, vigilanza, misure di esecuzione e sistema sanzionatorio costituiscono componenti integrate della disciplina NIS2.