Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
L'errore più comune che vediamo circolare in queste settimane è questo: l'impresa ha ricevuto la comunicazione ACN di inserimento nell'elenco NIS nella primavera del 2025, ha delegato tutto al responsabile IT o al consulente esterno, e ora crede che il problema sia "avere i firewall a posto". Non è così. Il rischio più immediato non è tecnico: è procedurale. La prima richiesta di documenti dell'ACN — che può arrivare senza preavviso per i soggetti essenziali — è già parte dell'istruttoria. Risponderle male, risponderle in ritardo o consegnare documentazione incompleta può costituire, di per sé, una violazione autonoma degli obblighi di legge.
Nel regime NIS2 la norma non punisce solo chi è stato attaccato, ma chi non ha dimostrato di aver fatto il necessario per non esserlo.
Ispezione ACN NIS2: cos'è cambiato il 1° novembre
Il 31 ottobre 2026 era la scadenza perentoria stabilita dalla Determinazione ACN entro cui i soggetti nel perimetro del D.Lgs. 4 settembre 2024, n. 138 — il decreto di recepimento della Direttiva UE 2022/2555, nota come NIS2 — dovevano avere operative le misure di sicurezza di base. A partire da novembre 2026, l'ACN avvia l'attività ispettiva formale per verificare la conformità dei sistemi e l'adeguatezza delle misure organizzative e tecniche adottate.
Chi ha ricevuto la comunicazione di inserimento nell'elenco nazionale ad aprile 2025 doveva avere misure di sicurezza di base operative e dimostrabili entro ottobre 2026. ACN non ha concesso proroghe.
La platea è ampia: da meno di 1.000 entità obbligate sotto il vecchio regime NIS1, si è passati a circa 12.000 organizzazioni che devono oggi conformarsi ai nuovi obblighi di sicurezza, governance e notifica degli incidenti. Per molte di queste, il 1° novembre 2026 non è una data simbolica: è il giorno in cui il telefono può suonare con un funzionario ACN all'altro capo.
La sequenza procedurale: quattro livelli, quattro rischi
L'articolo 34 del D.Lgs. 138/2024 costruisce la vigilanza attraverso quattro livelli: monitoraggio, analisi e supporto; verifiche e ispezioni; misure di esecuzione; sanzioni amministrative pecuniarie e accessorie. Capire dove si è nella sequenza è decisivo, perché le regole del gioco — e le leve difensive — cambiano a ogni stadio.
Il monitoraggio è continuo e silenzioso: l'ACN può raccogliere informazioni pubbliche, consultare la piattaforma di registrazione, analizzare le notifiche di incidenti già trasmesse. In questa fase l'impresa spesso non sa di essere osservata.
Le ispezioni ex ante — svolte anche in assenza di specifici segnali di criticità — possono riguardare esclusivamente i soggetti essenziali. Per i soggetti importanti la supervisione è invece ordinariamente ex post. Questa distinzione è cruciale: se la sua azienda è classificata come soggetto essenziale, l'ispezione può arrivare in qualsiasi momento, senza che vi sia stato un incidente o una segnalazione.
In presenza di carenze, l'ACN può imporre al soggetto di conformarsi, rimediare alle violazioni o cessare comportamenti non conformi, anche mediante intimazioni e diffide. È la fase delle misure di esecuzione: una diffida con termine perentorio, che se ignorata fa scattare le sanzioni pecuniarie e quelle accessorie.
Cosa può fare l'ACN durante un'ispezione NIS2?
L'11 agosto 2026 l'ACN ha pubblicato cinque nuove FAQ, da MVE.1 a MVE.5, dedicate a monitoraggio, vigilanza ed esecuzione nei confronti dei soggetti NIS. Non introducono nuovi obblighi: chiariscono come l'Agenzia esercita i poteri di controllo che il D.Lgs. 138/2024 le attribuisce al Capo V, articoli 34–38.
In concreto, l'ACN può svolgere ispezioni e controlli in loco e vigilanza a distanza, compresi controlli casuali. Può richiedere documentazione in qualsiasi momento. Un audit NIS2 è una verifica, a distanza o in loco, sistematica, documentata e indipendente, di quanto un soggetto rispetta gli obblighi di sicurezza del D.Lgs. 138/2024. L'ACN può chiederlo, a spese del soggetto, dentro un'attività di vigilanza più ampia.
Il dato che spesso sfugge è questo: le ispezioni non saranno a sorpresa nel senso di imprevedibili — le organizzazioni inserite nell'elenco sanno di essere soggette a vigilanza — ma la tempistica specifica non sarà preannunciata. Il "non sapevo che arrivassero oggi" non è una giustificazione.
Quali documenti devo avere pronti per un'ispezione NIS2?
Avere le misure di sicurezza "in produzione" non basta: occorre dimostrarlo con evidenze. Con la NIS2 l'onere della prova si sposta sulla governance: non basta adottare misure di cybersicurezza, occorre dimostrare chi le ha deliberate e perché.
Il dossier documentale minimo da tenere pronto comprende: delibere del consiglio di amministrazione o dell'organo equivalente con data certa, che approvino le misure di sicurezza; registri aggiornati della formazione in cybersicurezza svolta dagli amministratori e dal personale; analisi del rischio documentata con metodologia tracciabile; procedure di gestione degli incidenti, con evidenza dei test effettuati; elenco aggiornato dei fornitori rilevanti con le relative clausole contrattuali di sicurezza; log delle notifiche di incidenti significativi trasmesse al CSIRT Italia.
Il catalogo minimo per i soggetti importanti comprende 37 misure e 87 requisiti (Allegato 1 della Determinazione ACN), mentre per i soggetti essenziali si sale a 43 misure e 116 requisiti (Allegato 2).
Servono delibere formali, registri della formazione e flussi di reporting tracciabili. Un'analisi del rischio scritta a mano su un foglio Excel due anni fa e non aggiornata non regge alla verifica. La conformità apparente, fatta di misure sulla carta e processi mai provati, non regge alla verifica che si è aperta con la scadenza di ottobre 2026.
Sul piano pratico, gli obblighi di documentazione e di approvazione formale delle misure (art. 23 D.Lgs. 138/2024) fanno sì che il soggetto verificato debba essere in grado di dimostrare con evidenze di aver adempiuto: chi non ha documenti difficilmente potrà contrastare la contestazione.
L'amministratore risponde personalmente se l'azienda non è conforme alla NIS2?
Sì. Ed è l'aspetto che più frequentemente viene sottovalutato dai consigli di amministrazione.
La delega operativa è ammessa, ma la responsabilità resta agli organi apicali. Dopo ottobre 2026 l'ACN può irrogare sanzioni fino al 2% del fatturato mondiale per i soggetti essenziali (1,4% per gli importanti) e, nei casi più gravi, la sospensione temporanea dei responsabili dalle funzioni dirigenziali.
L'articolo 23 del D.Lgs. 138/2024 impone agli organi di amministrazione e direttivi di approvare le modalità di implementazione delle misure, di sovrintendere all'attuazione degli obblighi e di rispondere delle violazioni. L'art. 38, comma 6, prevede la sanzione amministrativa accessoria dell'incapacità a svolgere funzioni dirigenziali all'interno del medesimo soggetto.
La sanzione pecuniaria colpisce la società: per i soggetti importanti arriva a 7 milioni di euro o all'1,4% del fatturato annuo mondiale; per i soggetti essenziali a 10 milioni o al 2%, se superiore. Il minimo è pari a un ventesimo del massimo per gli essenziali e a un trentesimo per gli importanti. L'art. 38, comma 6, D.Lgs. 138/2024 consente all'ACN, quando la società non si adegua entro il termine fissato da una diffida, di disporre la sanzione accessoria dell'incapacità a svolgere funzioni dirigenziali.
Il minimo di legge è quindi di circa 233.333 euro per un soggetto importante (un trentesimo di 7 milioni) e di 500.000 euro per un soggetto essenziale (un ventesimo di 10 milioni). Non è un rischio teorico.
Come difendersi in fase istruttoria: l'angolo che nessuno segnala
Qui si trova l'errore che costa di più. La maggior parte degli articoli tecnici si concentra sulle checklist di sicurezza informatica. Ma la sequenza procedurale dell'ispezione ha una logica giuridica precisa che richiede una gestione attiva fin dal primo contatto.
Quando l'ACN invia una richiesta di documentazione nella fase di monitoraggio o di verifica, l'articolo 36 del D.Lgs. 138/2024 consente all'ACN di richiedere in qualsiasi momento la documentazione probatoria. Quella risposta — il contenuto, la forma, la tempistica, l'ordine di consegna dei documenti — entra nel fascicolo istruttorio. Un documento consegnato con dati incompleti, una risposta che contiene ammissioni implicite di mancata implementazione, una lista di misure adottate che non corrisponde a quanto dichiarato in fase di registrazione: tutto questo può essere valorizzato dall'ACN nella contestazione successiva.
La difesa giuridicamente corretta in fase istruttoria passa per tre principi pratici. Primo: non rispondere mai in modo spontaneo e disorganizzato. La risposta alle richieste ACN va coordinata tra l'area tecnica, la direzione e il legale. Secondo: distinguere tra ciò che si "ha" e ciò che si "ha documentato". Un'analisi del rischio aggiornata ma non firmata dal CDA vale meno di una più datata ma deliberata formalmente. Terzo: tenere separata la produzione documentale dall'eventuale impugnazione. Se la contestazione muove da un presupposto errato — ad esempio, un'errata classificazione del soggetto come essenziale anziché importante — il momento per sollevare l'eccezione è prima di produrre documenti nel merito, non dopo.
Sul piano del contenzioso, le imprese che ricevono un atto di contestazione o una diffida possono impugnarla davanti al TAR, con istanza cautelare se il termine imposto è particolarmente breve. L'ACN adotta un modello di vigilanza differenziato: vigilanza ex-ante (proattiva) per i soggetti essenziali, con ispezioni regolari e sistematiche; vigilanza ex-post (reattiva) per i soggetti importanti, attivata principalmente a seguito di incidenti o segnalazioni. Per i soggetti importanti, dunque, il contenzioso spesso nasce da un incidente male gestito o da una notifica tardiva: anche qui il tempus e la qualità della documentazione trasmessa al CSIRT Italia sono determinanti in sede difensiva.
Nota dall'esperienza dello studio
Nelle pratiche che seguiamo in materia di compliance, l'errore più frequente non è la mancanza totale di misure di sicurezza: è la dissociazione tra ciò che l'azienda ha realmente implementato e ciò che risulta documentato e deliberato formalmente. I sistemi ci sono, il firewall è aggiornato, il backup funziona — ma non c'è una delibera del CDA che approvi le misure, non c'è un registro della formazione firmato, non c'è un'analisi del rischio con data certa. In sede ispettiva, questo vale quanto non avere niente. La NIS2 non è una certificazione tecnica: è un sistema di governance dimostrabile. La differenza, in termini di esposizione sanzionatoria, può valere centinaia di migliaia di euro.
Domande frequenti
Se la mia azienda è un soggetto importante, posso stare tranquillo fino a un incidente?
Non del tutto. La vigilanza ex-post per i soggetti importanti significa che l'ACN normalmente non avvia ispezioni d'ufficio, ma può farlo in presenza di un "sospetto motivato di violazione". Questo include la notifica tardiva di un incidente, una segnalazione di terzi, o l'emersione di criticità da controlli su altri soggetti nella stessa filiera. Essere un soggetto importante non è un'esimente: è solo un profilo di rischio ispettivo più basso rispetto agli essenziali.
Posso delegare tutta la responsabilità NIS2 al CISO o al consulente IT?
No. La delega operativa alla funzione tecnica è legittima per la gestione quotidiana, ma la responsabilità di approvare le misure, sovrintenderne l'attuazione e partecipare alla formazione resta in capo agli organi di amministrazione e direzione in modo non delegabile. Se il soggetto non si adegua entro il termine fissato da una diffida, l'ACN può applicare agli amministratori la sanzione accessoria dell'incapacità temporanea a svolgere funzioni dirigenziali, a prescindere da chi abbia gestito concretamente i sistemi.
Cosa succede se ricevo una diffida ACN con un termine brevissimo per adeguarmi?
È possibile impugnare la diffida davanti al TAR, anche in via cautelare, se il termine appare sproporzionato o se la contestazione muove da un presupposto di fatto o giuridico errato. L'impugnazione non sospende automaticamente il termine, ma una sospensiva ottenuta in sede cautelare lo congela fino alla decisione. È essenziale agire entro 60 giorni dalla notifica dell'atto, termine perentorio per il ricorso amministrativo, e non consumare quel tempo in interlocuzioni informali con l'Agenzia.
Redazione - Staff Studio Legale MP
