L’11 agosto 2026 l’Agenzia per la cybersicurezza nazionale ha aggiunto alle domande frequenti sulla disciplina NIS una sezione dedicata al monitoraggio, alla vigilanza e all’esecuzione, composta dalle risposte da MVE.1 a MVE.5 e annunciata dall’Agenzia in pari data. Non è una novità normativa e non introduce obblighi ulteriori: è la spiegazione, in forma di soft law, di come l’Autorità nazionale competente NIS intende esercitare i poteri che il Capo V del decreto legislativo 4 settembre 2024, n. 138 le attribuisce. Il momento in cui arriva, però, conta: per i soggetti entrati nell’elenco NIS nel 2025 il termine di diciotto mesi per adottare le misure di sicurezza di base sta maturando, e la vigilanza smette di essere un capitolo teorico del decreto.
Quattro ambiti, un solo procedimento di valutazione
La FAQ MVE.1 scompone l’attività dell’Agenzia in quattro ambiti: il monitoraggio, l’analisi e il supporto ai soggetti NIS previsti dall’articolo 35; le verifiche e le ispezioni dell’articolo 36; le misure di esecuzione dell’articolo 37; le sanzioni amministrative pecuniarie e accessorie dell’articolo 38. Sono ambiti distinti, ma non compartimenti stagni, perché il decreto li collega espressamente: l’articolo 38, comma 1, impone all’Autorità di tenere conto, nell’esercizio dei poteri sanzionatori, degli esiti del monitoraggio, delle risultanze delle ispezioni e dell’esercizio dei poteri di esecuzione.
L’Agenzia dichiara di muoversi con un approccio graduale basato sul rischio e secondo i principi di effettività, proporzionalità e dissuasività, tenendo conto degli elementi elencati dall’articolo 34, comma 6: la gravità della violazione e l’importanza delle disposizioni violate, la durata, eventuali precedenti, il danno materiale o immateriale causato, l’intenzionalità o la negligenza, le misure adottate per prevenire o attenuare il danno, l’adesione a codici di condotta o a meccanismi di certificazione approvati e il livello di collaborazione con l’Autorità. È l’elenco che, nella pratica, trasforma la condotta tenuta prima e durante il controllo in un fattore di quantificazione della sanzione.
Il monitoraggio non è un’ispezione, ma alimenta il fascicolo
La FAQ MVE.2 descrive l’attività dell’articolo 35 come sistematica e continuativa, diretta a conoscere i soggetti NIS e ad accompagnarli nell’attuazione degli obblighi. Si fonda sulle informazioni che i soggetti trasmettono in adempimento del decreto, a partire da quelle rese ai fini della registrazione; ove non siano sufficienti, l’Autorità può acquisirne di ulteriori, chiedendo tra l’altro una rendicontazione, anche periodica, o autovalutazioni. Il supporto, che comprende raccomandazioni, FAQ, linee guida e l’attività divulgativa nei Tavoli settoriali, opera prima e indipendentemente dall’esercizio dei poteri ispettivi e di esecuzione.
La distinzione ha un rilievo pratico che conviene non sottovalutare. Una richiesta di rendicontazione o di autovalutazione non è un’ispezione e non attiva le garanzie procedimentali che l’ispezione porta con sé, ma ciò che il soggetto dichiara in quella sede entra nella valutazione complessiva che l’Agenzia compie per stabilire priorità, interventi di supporto e, se del caso, il passaggio agli ambiti successivi. Le autodichiarazioni imprecise costano più delle omissioni prudenti.
Essenziali e importanti: la differenza sta nel presupposto del controllo
È il punto più netto dell’intera sezione. La FAQ MVE.3 conferma che le attività di verifica e ispezione sono differenziate: nei confronti dei soggetti essenziali le ispezioni in loco e a distanza, compresi i controlli casuali, possono essere disposte anche ex ante; nei confronti dei soggetti importanti no. Per questi ultimi l’ispezione può essere disposta solo qualora l’Autorità abbia acquisito o ricevuto elementi di prova, indicazioni o informazioni che suggeriscano possibili violazioni, secondo l’articolo 36, comma 2, del decreto NIS. I poteri esercitabili restano gli stessi: verifica della documentazione trasmessa, ispezioni in loco e a distanza, richieste di accesso a dati, documenti e altre informazioni, con l’obbligo di dichiarare la finalità della richiesta.
Per un soggetto essenziale, quindi, il controllo può arrivare senza che vi sia alcun sospetto di violazione, e la classificazione come essenziale o importante, che molte organizzazioni hanno trattato come un adempimento formale della fase di registrazione, decide se l’organizzazione debba considerarsi permanentemente ispezionabile. Su come si è arrivati a quella classificazione, e su che cosa comporta in termini di notifiche e misure, resta utile la ricostruzione già pubblicata su NIS 2 alla prova dei fatti: notifiche, categorizzazione e misure di sicurezza nel 2026.
Diffide e sanzioni non si escludono a vicenda
Le misure di esecuzione dell’articolo 37, spiega la FAQ MVE.4, sono i provvedimenti con cui l’Autorità chiede di conformare la condotta agli obblighi, di rimediare alle carenze accertate o di far cessare le violazioni, e si esercitano tramite intimazioni e diffide con modalità e termini ragionevoli e proporzionati. L’Agenzia precisa un punto che vale la pena leggere due volte: il ricorso ai poteri di esecuzione non preclude l’esercizio dei poteri sanzionatori, perché le due funzioni sono diverse e complementari. Adempiere alla diffida, in altri termini, non cancella la violazione già commessa.
Sul versante sanzionatorio la FAQ MVE.5 chiarisce che le fattispecie di illecito dell’articolo 38, comma 8, sono le stesse per tutti, mentre cambiano gli importi e l’ambito delle misure accessorie. Per i soggetti essenziali diversi dalle pubbliche amministrazioni la sanzione arriva fino a dieci milioni di euro o al due per cento del fatturato annuo mondiale dell’esercizio precedente, se superiore, con un minimo pari a un ventesimo del massimo edittale; per i soggetti importanti il massimo scende a sette milioni di euro o all’uno virgola quattro per cento, con un minimo pari a un trentesimo. Per le pubbliche amministrazioni dell’allegato III e per i soggetti a partecipazione o controllo pubblico indicati dalla norma la forbice è compresa fra venticinquemila e centoventicinquemila euro, ridotta di un terzo quando il soggetto è importante.
Resta poi la sanzione accessoria dell’articolo 38, comma 6, che colpisce le persone fisiche: se il soggetto non adempie nei termini della diffida, l’Autorità può disporre nei confronti degli organi di amministrazione e direttivi, e di chi svolge funzioni di amministratore delegato o rappresentante legale, l’incapacità temporanea a svolgere funzioni dirigenziali all’interno del medesimo soggetto, che dura finché non sono adottate le misure necessarie. È la traduzione italiana di quella responsabilizzazione dei vertici di cui si è già scritto in La responsabilità cyber sale in consiglio di amministrazione, ma gli standard per dimostrarla non sono ancora scritti.
Il calendario che rende attuale la vigilanza
Le FAQ sulla vigilanza arrivano dopo che il quadro degli obblighi si è stabilizzato. La sezione dedicata alle misure di sicurezza e alla notifica di incidenti ricorda che la determinazione 379907/2025 del 19 dicembre 2025, applicabile dal 15 gennaio 2026, ha aggiornato la determinazione 164179 del 14 aprile, dando atto del perfezionamento della notifica delle regole tecniche alla Commissione ai sensi della direttiva 2015/1535, il cui periodo di standstill si è concluso l’11 novembre. Dal 15 gennaio 2026, cessate le previsioni transitorie per gli operatori di servizi essenziali e per gli operatori di telecomunicazioni, si applica la disciplina generale dell’obbligo di notifica.
Quanto alle misure di base, la FAQ MSB.3 distingue: per i soggetti inseriti nell’elenco nel corso del 2025 il termine è di diciotto mesi dalla ricezione della comunicazione di inserimento, mentre per quelli inseriti per la prima volta nel 2026 scade il 31 luglio 2027. Poiché la registrazione sulla piattaforma dell’Agenzia si svolge fra il 1° gennaio e il 28 febbraio di ogni anno, per la prima tornata di soggetti quei diciotto mesi maturano fra la seconda metà del 2026 e i primi mesi del 2027, a seconda della data in cui ciascuno ha ricevuto la comunicazione. È in quella finestra che il monitoraggio dell’articolo 35 trova qualcosa da misurare.
Che cosa resta in capo ai soggetti NIS
Le cinque risposte non spostano il diritto positivo di un millimetro, ma dicono con chiarezza che la conformità NIS non si esaurisce nell’adozione delle misure entro il termine: va documentata in modo da reggere una rendicontazione, un’autovalutazione o un’ispezione che, per i soggetti essenziali, può essere disposta senza alcun presupposto di sospetto. Chi è stato classificato come essenziale ha interesse a mettere ordine adesso nelle evidenze delle misure di base, perché il momento del controllo non dipende da lui; chi è importante ha un margine maggiore, ma solo finché non emergono elementi che suggeriscano una violazione. In entrambi i casi, l’adesione a codici di condotta e a certificazioni approvate e la collaborazione con l’Agenzia non sono uno scudo, ma pesano nella misura della sanzione. Vale la pena ricordare, per chi produce anche prodotti con elementi digitali, che dall’11 settembre 2026 corre in parallelo un secondo obbligo di segnalazione, quello del Cyber Resilience Act, con canali e tempi propri.
