Chiarimenti su supervisione, graduazione e regime sanzionatorio per soggetti essenziali, importanti e PA
L’Agenzia per la Cybersicurezza Nazionale (ACN) ha pubblicato cinque Frequently Asked Questions (MVE.1-MVE.5) dedicate alla disciplina di monitoraggio, vigilanza ed esecuzione della direttiva (UE) 2022/2555 (NIS2), recepita in Italia dal decreto legislativo 4 settembre 2024, n. 138. Si tratta di documenti di soft law che chiariscono le modalità e i principi dell’azione di supervisione nei confronti dei soggetti essenziali, dei soggetti importanti e delle pubbliche amministrazioni. Le FAQ non hanno natura vincolante sul piano tecnico, ma rivestono una significativa autorevolezza interpretativa quale orientamento dell’Autorità nazionale competente NIS.
La struttura del sistema di vigilanza su quattro pilastri
Secondo la FAQ MVE.1, l’azione di vigilanza ed esecuzione si articola in quattro ambiti progressivi: monitoraggio, analisi e supporto; verifiche e ispezioni; misure di esecuzione; sanzioni amministrative pecuniarie e accessorie. Questo modello riflette un approccio graduato e basato sul rischio, coerente con i criteri di effettività, proporzionalità e dissuasività previsti dall’articolo 34, paragrafo 1, della direttiva NIS2. L’escalation sanzionatoria è presentata come extrema ratio, non come risposta immediata a qualsiasi inadempimento. ACN intende esercitare un significativo margine di discrezionalità nell’applicazione dei propri poteri, con valutazioni caso per caso che tengano conto delle peculiarità di ciascuna fattispecie, della dimensione del soggetto, della natura del settore e dell’entità della violazione.
Monitoraggio continuo come architettura informativa permanente
La FAQ MVE.2 descrive il primo pilastro — monitoraggio, analisi e supporto — come attività sistematica e continuativa. L’Agenzia ha costruito o sta costruendo infrastrutture informative permanenti per acquisire dati sullo stato di attuazione degli obblighi NIS2: piattaforma di registrazione obbligatoria, questionari periodici sulle misure di sicurezza, attività di threat intelligence del CSIRT nazionale. La tripartizione interna — monitoraggio (acquisizione dati), analisi (trasformazione in conoscenza), supporto (trasferimento della conoscenza ai soggetti) — svolge una funzione preventiva finalizzata a ridurre l’asimmetria informativa e favorire l’adempimento spontaneo. Per i soggetti NIS, la qualità e la completezza delle informazioni trasmesse ad ACN concorrono a definire il profilo di rischio associato dal regolatore e, in definitiva, l’intensità della supervisione.
Distinzione tra supervisione ex ante e ex post
La FAQ MVE.3 chiarisce il principio fondamentale della supervisione NIS2: l’attività ispettiva ex ante — che consente verifiche indipendentemente da segnali di inadempimento — è riservata soltanto ai soggetti essenziali (articolo 32 della direttiva). Per i soggetti importanti vale la supervisione ex post, attivata dalla presenza di elementi di allerta specifici: notifica di incidente, segnalazione di terzi, risultanze del monitoraggio continuativo, informazioni acquisite da autorità di altri Stati membri. Questa distinzione riflette una diversa valutazione del rischio sistemico: un inadempimento dei soggetti essenziali, operanti in settori critici per economia e società, è suscettibile di effetti a cascata; per i soggetti importanti, la verifica viene effettuata solo ove sussistano concrete ragioni di preoccupazione.
Misure di esecuzione come strumento conformativo
Secondo la FAQ MVE.4, le misure di esecuzione si distinguono dalle sanzioni perché hanno finalità conformativa, non punitiva. Attraverso intimazioni e diffide, ACN richiede al soggetto inadempiente di: conformare la condotta agli obblighi; rimediare alle carenze accertate; far cessare le condotte in violazione. Queste misure costituiscono l’ultimo stadio prima della sanzione, presuppongono l’accertamento di un inadempimento e rappresentano l’escalation dalla fase di supporto qualora quest’ultima non determini la conformità spontanea. La progressione tipica è: monitoraggio → ispezione → misura di esecuzione → sanzione, anche se l’approccio basato sul rischio consente accelerazioni in presenza di violazioni gravi.
Regime sanzionatorio differenziato per categoria
La FAQ MVE.5 descrive il quarto pilastro, affermando che le sanzioni pecuniarie e le misure accessorie variano secondo la categoria del soggetto. Il decreto legislativo n. 138/2024 ha recepito i massimali dell’articolo 34 della direttiva con tripartizione italiana: per i soggetti essenziali, le sanzioni per violazioni degli obblighi di cui agli articoli 21 e 23 della direttiva (misure di gestione dei rischi e notifica degli incidenti) possono raggiungere dieci milioni di euro o il due per cento del fatturato mondiale annuo totale, se superiore; per i soggetti importanti, sette milioni di euro o l’uno virgola quattro per cento del fatturato mondiale annuo totale, se superiore; per le pubbliche amministrazioni, massimali assoluti che tengono conto dell’inapplicabilità del criterio del fatturato agli enti non commerciali. Le misure accessorie per i soggetti essenziali includono la comunicazione pubblica dell’inadempimento e, nei casi più gravi, la possibilità di sospensione temporanea dei servizi o di interdizione temporanea degli organi direttivi responsabili dalle funzioni manageriali (articolo 32, paragrafo 5, della direttiva).
Profili critici aperti
Le FAQ lasciano aperti profili critici di rilievo. In primo luogo, la natura di soft law delle FAQ non risolve l’assenza di un regolamento procedimentale che disciplini il procedimento di vigilanza ed esecuzione NIS2: termini procedurali, garanzie del contraddittorio, criteri per la determinazione concreta della sanzione all’interno della forchetta di legge rimangono indeterminati. Il principio del legittimo affidamento — riconosciuto dall’articolo 1, comma 2-bis, della legge n. 241/1990 — richiede tuttavia che il soggetto il quale abbia orientato la condotta conformemente alle FAQ non possa essere sanzionato sulla base di interpretazioni successive diverse.
In secondo luogo, la gradualità come discrezionalità comporta il rischio di asimmetrie applicative: soggetti con profili di inadempimento comparabili potrebbero ricevere trattamenti differenti in funzione della loro visibilità nel monitoraggio di ACN, delle loro dimensioni o del settore. Una maggiore trasparenza nei criteri di esercizio della discrezionalità — analogamente a quanto le autorità di protezione dei dati fanno in materia GDPR — appare auspicabile per garantire la prevedibilità dell’azione amministrativa.
In terzo luogo, il coordinamento con altre autorità di settore — Banca d’Italia, IVASS, Consob, Garante per la protezione dei dati personali, Autorità regionali — rimane non formalizzato. La sovrapposizione tra il perimetro NIS2 e quello del GDPR, del DORA e di altre normative comporta il rischio di procedimenti paralleli e contraddittori. La direttiva NIS2 prevede meccanismi di cooperazione (articoli 31 e 35), ma non si ha evidenza di accordi istituzionali che ne disciplinino in dettaglio l’attuazione nel contesto italiano.
Cosa devono fare le imprese
Mappatura della categoria di appartenenza: verificare con precisione se il soggetto rientra nella categoria dei soggetti essenziali, dei soggetti importanti o delle pubbliche amministrazioni, utilizzando il portale ACN e la documentazione tecnica disponibile. La categoria determina il regime di supervisione applicabile (ex ante o ex post) e il massimale sanzionatorio di riferimento.
Presidio del monitoraggio continuativo: designare un referente interno responsabile dell’interazione con ACN per le attività di monitoraggio. Garantire la tempestività e la completezza delle risposte ai questionari periodici, la coerenza tra i dati trasmessi in occasioni diverse e la tracciabilità documentale delle informazioni.
Sistema di notifica degli incidenti: implementare o aggiornare le procedure interne per la notifica degli incidenti significativi ad ACN, allineandosi ai termini previsti dal decreto legislativo n. 138/2024. Coordinare con le procedure di notifica al Garante per la protezione dei dati personali (articolo 33 GDPR), evitando duplicazioni e garantendo la coerenza quando ci si riferisce allo stesso evento.
Programma documentato di misure di sicurezza: costruire e mantenere aggiornato un sistema che dimostri l’adozione delle misure di gestione del rischio di cybersicurezza previste dall’articolo 21 della direttiva NIS2. Includere: politiche di sicurezza approvate dall’organo di gestione, risultanze delle analisi del rischio, evidenze dei test periodici, registro delle vulnerabilità e remediation plan. La documentazione costituisce la principale evidenza difensiva in caso di ispezione.
Formazione degli organi direttivi: organizzare sessioni formative specifiche per i componenti dell’organo di gestione sulla disciplina NIS2 e sugli obblighi che essa impone ai sensi dell’articolo 20 della direttiva. Documentare la formazione con verbali o attestati.
Procedura di risposta alle ispezioni: predisporre una procedura interna che disciplini le modalità di risposta in caso di ispezione di ACN, identificando i soggetti autorizzati all’interazione, le modalità di raccolta e trasmissione dei documenti, i criteri di valutazione della rispondenza alle richieste ispettive ai poteri di legge dell’Agenzia e i canali di comunicazione con i consulenti legali. Per i soggetti essenziali, esposti alla supervisione ex ante, questa procedura ha carattere di urgenza.
Gestione delle misure di esecuzione: in caso di ricezione di intimazione o diffida da ACN, attivare immediatamente le funzioni legali per la valutazione della legittimità del provvedimento e la definizione della strategia. Verificare i termini per l’adempimento e predisporre un piano di conformità documentato che dimostri buona fede e collaborazione. Una risposta tempestiva e documentata può influire significativamente sulla decisione di ACN in ordine all’applicazione delle sanzioni.
Audit periodici di conformità NIS2: integrare la NIS2 nel programma annuale di audit interno o commissionare verifiche specifiche a soggetti indipendenti. L’audit deve coprire profili tecnici (misure di sicurezza delle reti e dei sistemi informativi) e profili organizzativi (governance, politiche, procedure, formazione, gestione incidenti). Portare i risultati all’attenzione dell’organo di gestione e conservarli come documentazione difensiva.
Questioni aperte e prospettive
Le FAQ MVE rappresentano un contributo utile alla chiarezza del sistema NIS2, ma lasciano aperte questioni che l’evoluzione regolatoria dovrà affrontare. La pubblicazione di un regolamento procedimentale da parte di ACN — disciplinando termini, contraddittorio e criteri di determinazione delle sanzioni — appare necessaria per garantire la prevedibilità dell’azione amministrativa. Il coordinamento istituzionale con le altre Autorità di supervisione rimane un nodo critico, in particolare per la gestione della sovrapposizione tra NIS2 e GDPR. La maturità del sistema dipenderà infine dalle capacità di monitoraggio effettive di ACN rispetto alla numerosità e complessità dei soggetti supervisionati: non si ha evidenza pubblica di una valutazione della capacità dell’Agenzia di esercitare una supervisione effettiva e differenziata sull’intero perimetro NIS2 registrato in Italia.
L’approfondimento completo di questo articolo è disponibile su 01magazine.it.
