L’11 agosto 2026 l’ACN ha pubblicato cinque nuove FAQ, da MVE.1 a MVE.5, dedicate a monitoraggio, vigilanza ed esecuzione nei confronti dei soggetti NIS. Non introducono nuovi obblighi: chiariscono come l’Agenzia esercita i poteri di controllo che il D.Lgs. 138/2024 le attribuisce (Capo V, articoli 34–38).
Arrivano in un momento preciso. Per i soggetti in elenco dal 2025, a ottobre 2026 scade il termine per adottare le misure di sicurezza di base. Da quel momento devi poter dimostrare di averle adottate, e le FAQ spiegano come l’ACN può verificarlo.
Quando scade il termine di ottobre 2026
Il termine è di 18 mesi dalla ricezione della comunicazione di inserimento nell’elenco (art. 3 della Determinazione ACN 379907/2025; art. 42, c. 1, lett. c del D.Lgs. 138/2024). L’ACN indica «ottobre 2026». Il 31 ottobre è la data che si usa come riferimento, ma il giorno esatto dipende da quando hai ricevuto la comunicazione: le prime sono partite a metà aprile 2025, e per chi le ha ricevute allora la scadenza cade a metà ottobre.
Entro quel termine i soggetti importanti devono adottare le misure dell’Allegato 1 della determinazione, gli essenziali quelle dell’Allegato 2. La Determinazione 379907/2025, del 19 dicembre 2025, si applica dal 15 gennaio 2026 e ha sostituito la precedente. Per chi è entrato in elenco nel 2026 il termine è invece il 31 luglio 2027 (Determinazione ACN 127434/2026).
Il calendario completo degli adempimenti è nella Guida NIS2.
Cosa dicono le cinque FAQ
MVE.1 – Quattro ambiti di vigilanza
La vigilanza si articola in quattro ambiti: monitoraggio, analisi e supporto; verifiche e ispezioni; misure di esecuzione; sanzioni amministrative pecuniarie e accessorie. L’approccio è graduale e basato sul rischio, secondo i principi di effettività, proporzionalità e dissuasività.
Graduale non significa salire una scala un gradino alla volta: come precisa la MVE.4, misure di esecuzione e sanzioni hanno funzioni diverse e complementari, e l’una non esclude l’altra.
MVE.2 – Un monitoraggio continuo
Il monitoraggio ha carattere sistematico e continuativo. L’ACN può chiedere rendicontazioni, anche periodiche, e autovalutazioni. L’art. 35 del decreto le consente inoltre di chiedere piani di implementazione, audit sulla sicurezza e scansioni di sicurezza, e di emanare raccomandazioni e avvertimenti.
In pratica, la conformità non è un fascicolo che si prepara una volta sola.
MVE.3 – Verifiche e ispezioni
Le verifiche possono essere documentali oppure ispezioni, in loco o a distanza, con accesso a dati e documenti.
Essenziali e importanti: cambia il presupposto dei controlli
Per i soggetti essenziali le ispezioni possono essere disposte anche ex ante, compresi controlli casuali: l’ACN può verificare anche senza che sia successo nulla.
Per i soggetti importanti le ispezioni non possono essere disposte ex ante. Partono quando l’ACN ha acquisito o ricevuto elementi di prova, indicazioni o informazioni che suggeriscono possibili violazioni (art. 36, c. 2). Pensiamo, ad esempio, a un incidente non notificato, a una segnalazione o a evidenze emerse dal monitoraggio.
Non significa che gli importanti siano esclusi dalla vigilanza: cambia il presupposto per avviare l’ispezione.
MVE.4 – Misure di esecuzione
L’ACN esercita il potere di esecuzione con intimazioni e diffide, indicando modalità e termini ragionevoli e proporzionati. Lo scopo: far conformare il soggetto agli obblighi, far rimediare le carenze accertate o far cessare condotte in violazione. Il ricorso all’esecuzione non esclude le sanzioni.
MVE.5 – Sanzioni diverse per essenziali, importanti e PA
Le violazioni sanzionate sono le stesse per tutti, ma l’entità delle sanzioni pecuniarie e l’ambito delle misure accessorie cambiano a seconda che il soggetto sia essenziale, importante o una Pubblica Amministrazione.
Gli importi massimi sono fissati dall’art. 38 del D.Lgs. 138/2024: per i soggetti essenziali fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore; per gli importanti fino a 7 milioni di euro o all’1,4% del fatturato. Per le PA sono previsti importi fissi più bassi.
Il testo completo delle FAQ è sul portale dell’ACN.
Il punto vero: dimostrare, non solo documentare
Le FAQ non lo scrivono con queste parole, ma è il senso che ne ricaviamo noi, come anche diversi commentatori: non basta avere documenti e procedure, bisogna poter dimostrare che sono attuati. Verifiche documentali, ispezioni e accesso a dati e documenti servono proprio a questo.
Dimostrabilità
Un documento formalmente corretto, ma che non corrisponde all’operato reale, è una criticità, non una tutela. Servono evidenze concrete:
- chi ha fatto cosa, e quando;
- con quale strumento;
- con quale risultato;
- chi lo ha verificato.
Cosa fare adesso
Se sei in elenco dal 2025, controlla la data della tua comunicazione di inserimento: è da lì che contano i 18 mesi. Poi ripassa le misure del tuo profilo e, per ognuna, non chiederti solo «abbiamo il documento?», ma «sappiamo mostrare che lo facciamo?».
Dove la risposta è no, servono tre cose: una pratica reale descritta con chi la esegue e chi la verifica, un’evidenza che resti nel tempo, e un collegamento chiaro con il rischio e con la misura ACN a cui risponde. Dove la determinazione lo consente e un punto non viene applicato, la scelta va motivata e documentata: in base all’esito della valutazione del rischio o per ragioni normative o tecniche.
È la direzione in cui abbiamo lavorato negli ultimi aggiornamenti di Teseo NIS2 GRC Software: metodi operativi, procedure che descrivono l’operato reale, misure ACN collegate ai rischi punto per punto. Li trovi raccontati in Dimostrare, non solo documentare: le novità della piattaforma.