Nell’attuare la direttiva NIS2, uno degli aspetti più delicati riguarda il monitoraggio, la vigilanza e l’esecuzione nei confronti dei soggetti essenziali e importanti da parte dell’Agenzia per la Cybersicurezza Nazionale È un tema centrale, perché definisce il rapporto tra Autorità e organizzazioni, chiarendo cosa ci si deve aspettare in termini di controlli, richieste e responsabilità.
Le nuove FAQ pubblicate da ACN offrono una lettura ordinata di questo processo illustrando come il monitoraggio sia un’analisi continua delle informazioni che i soggetti NIS trasmettono: un modo per comprendere il livello di conformità, individuare eventuali criticità e orientare le priorità di intervento.
La parte dedicata alle verifiche e ispezioni chiarisce una distinzione importante: per i soggetti essenziali, i controlli possono essere anche preventivi; per quelli importanti, scattano solo quando emergono elementi che suggeriscono possibili violazioni. Una differenziazione che rispecchia il diverso impatto dei servizi erogati e la necessità di calibrare gli interventi.
Se si evidenziano delle carenze, ACN può adottare misure di esecuzione – intimazioni, diffide, richieste di adeguamento – prima di arrivare alle sanzioni; ogni misura viene valutata secondo criteri di gravità, durata, impatto e collaborazione del soggetto, in un quadro che privilegia la correzione tempestiva rispetto alla penalizzazione.
Queste indicazioni delineano un modello di vigilanza il cui obiettivo è il rafforzamento della resilienza del sistema Paese, promuovendo comportamenti responsabili e processi di sicurezza più maturi. Un approccio che non si limita al controllo, ma sostiene la crescita complessiva della postura cyber nazionale.
