L’ispezione non chiede se siete in regola: chiede i dati che lo dimostrano

Uno scenario tipico, non un caso nostro. Un dirigente di un’azienda sanitaria pubblica, soggetto NIS importante, riceve dall’Agenzia per la cybersicurezza nazionale una richiesta di rendicontazione. Non è un’ispezione, e per un soggetto importante non potrebbe esserlo senza un indizio: è l’attività di monitoraggio, che ha «carattere sistematico e continuativo» e che l’Agenzia svolge «prima e indipendentemente dall’esercizio dei poteri ispettivi e di esecuzione». Il primo istinto è tirare fuori le policy già approvate dal vertice: la reazione più comune, e da oggi la più fragile.

Oggi, 11 agosto 2026, l’Agenzia per la cybersicurezza nazionale ha pubblicato cinque nuove FAQ sulla disciplina NIS — sigle MVE.1, MVE.2, MVE.3, MVE.4, MVE.5 — dedicate alle attività di monitoraggio, vigilanza ed esecuzione. La prima riassume il perimetro: l’attività «si svolge nei seguenti quattro ambiti» — monitoraggio, analisi e supporto; verifiche e ispezioni; misure di esecuzione; sanzioni amministrative pecuniarie e accessorie — retta da tre principi che la FAQ nomina così: «effettività, proporzionalità e dissuasività».

L’obbligo non è essere in regola, è poterlo dimostrare

Le FAQ interpretano; il decreto legislativo 4 settembre 2024, n. 138 — il decreto NIS — dispone. E lo fa, sul punto che conta davvero, in un solo comma. L’art. 37, comma 2, autorizza l’Autorità, nell’esercizio dei poteri di esecuzione, a richiedere ai soggetti, dichiarandone la finalità:

«i dati che dimostrino l’attuazione di politiche di sicurezza informatica, quali i risultati di audit sulla sicurezza e i relativi elementi di prova, nonché le informazioni necessarie per lo svolgimento dei propri compiti istituzionali».

Non chiede la policy. Chiede il dato che dimostri che la policy è stata attuata: il risultato di un audit, il suo elemento di prova, con una data che lo ancora nel tempo. Una policy firmata dal consiglio d’amministrazione non è quel dato — dichiara un’intenzione, non un esito verificato. Il risultato di un audit, con le sue evidenze, lo è. Vale anche qui la stessa lezione di un’altra scadenza NIS: il termine è un documento, non una data — e allo stesso modo l’attuazione non è una dichiarazione, è un dato.

Due velocità, non una

La seconda cosa da capire è chi rischia l’ispezione senza preavviso. La FAQ MVE.3 non lascia margini: per i soggetti essenziali, «le ispezioni in loco e a distanza, ivi compresi controlli casuali, possono essere disposte anche ex ante»; per gli importanti, invece, «non possono essere disposte ex ante» — servono prima «elementi di prova, indicazioni o informazioni che suggeriscano possibili violazioni del decreto NIS». È la stessa regola dell’art. 36, comma 2: per un soggetto essenziale l’ispezione arriva senza che nulla la faccia presagire; per un importante serve un indizio concreto, prima.

C’è una seconda asimmetria, che nella FAQ non compare e che si trova solo nel decreto. L’art. 37, comma 3, lettera a), autorizza l’Autorità a intimare di eseguire «su base periodica o mirata, audit sulla sicurezza, in particolare in caso di incidente significativo o di violazione» — ma la stessa lettera chiude con un limite netto: «L’Autorità nazionale competente NIS non può prescrivere l’esecuzione periodica di audit di sicurezza ai soggetti importanti». Per un importante, l’audit ricorrente resta una scelta propria, non un obbligo imposto dall’alto — un margine da conoscere prima di un’istruttoria, non da scoprire durante.

Non collaborare costa più della violazione

Il decreto non tratta la vigilanza come un controllo isolato. L’art. 34, comma 6, impone che poteri e attività si esercitino «rispettando i diritti della difesa» e indica gli elementi che aggravano una violazione: fra questi, sullo stesso piano, «l’ostacolo alle attività di vigilanza» e «la fornitura di informazioni false o gravemente inesatte» — non collaborare, o collaborare mentendo, pesa quanto la violazione che ha fatto scattare il controllo. Il rispetto dei diritti della difesa non è retorica: l’art. 37, comma 8, obbliga l’Autorità a notificare le «conclusioni preliminari» prima di intimazioni e diffide, con un termine «non inferiore a quindici giorni» per le osservazioni.

Quando l’Autorità dispone un audit, non lo fa svolgere al soggetto su se stesso: l’art. 34, comma 7, richiede «organismi indipendenti», ed è netto su chi paga: «i costi di tali audit sulla sicurezza e di tali scansioni di sicurezza sono a carico del soggetto sottoposto ad audit», salvo eccezioni motivate. Su chi siano questi organismi idonei, in Italia la definizione europea dei servizi di sicurezza gestiti resta un capitolo ancora aperto. E se le carenze restano, l’art. 37, comma 3, lettera l), consente di intimare «di rendere pubbliche le violazioni»: la sanzione pecuniaria resta fra le parti, la pubblicazione no.

Il taglio pubblico: due responsabilità che si sommano

Per il filone di oggi, il punto più pesante non sta nelle FAQ: sta nell’art. 38 del decreto. Le pubbliche amministrazioni dell’allegato III sono nel perimetro NIS con una banda propria: se essenziali, l’art. 38, comma 9, fissa la sanzione «da euro 25.000 a euro 125.000»; se importanti, quegli importi «sono ridotte di un terzo». Per le imprese essenziali (PA escluse) il tetto è 10 milioni o il 2% del fatturato mondiale se superiore, «il cui minimo è fissato nella misura di un ventesimo del massimo edittale»: un ventesimo di dieci milioni — calcolo nostro sul tetto fisso — fa cinquecentomila euro, e non è il massimo, è il minimo. Per le importanti il tetto è 7 milioni o l’1,4%, con minimo «nella misura di un trentesimo del massimo edittale»: oltre 233mila euro sulla sola soglia fissa, che cresce se l’1,4% del fatturato la supera.

Sul personale, il decreto sovrappone due regimi, ed è qui che il filone governo pesa più che altrove. L’art. 38, comma 6, consente di applicare a chi amministra o dirige un soggetto essenziale o importante — organi di amministrazione, amministratore delegato, rappresentante legale — la sanzione accessoria dell’«incapacità a svolgere funzioni dirigenziali all’interno del medesimo soggetto», finché non si rimedia. Per i dipendenti pubblici, l’art. 38, comma 7, aggiunge il regime ordinario della funzione pubblica: la violazione «può costituire causa di responsabilità dirigenziale, disciplinare e amministrativo-contabile». Un dirigente della pubblica amministrazione o della difesa non risponde solo per l’ente: risponde in proprio, su due fronti che si sommano.

Vedi il servizio · Parlane con un tecnico

Dove ci fermiamo

Le FAQ dell’Agenzia non sono una fonte del diritto e non aggiungono obblighi: sono l’interpretazione dell’Autorità che poi esercita quei poteri, e per questo contano nella pratica — ma l’obbligo e la sanzione stanno nel decreto, non nella FAQ. Non abbiamo notizia di ispezioni già disposte in base a queste FAQ, e non affermiamo che ce ne siano. Non sappiamo con quali criteri specifici l’Agenzia stabilirà l’ordine di priorità dei controlli, oltre a quanto la stessa MVE.1 indica in termini generali — «un approccio graduale basato sul rischio» — senza soglie dichiarate. È lettura normativa su fonti primarie, non un parere legale.

I due assi, applicati

Adempiere. L’art. 37, comma 2, diventa, nel nostro impianto, un controllo che gira sui documenti e sui sistemi del cliente: per ciascuna misura degli obblighi NIS, quale dato la dimostra, dove sta, chi lo produce, con quale data e quale evidenza — non le anagrafiche fornitori che non dicono cosa forniscono davvero, ma un fascicolo che si esporta, datato, il giorno della richiesta, invece di essere ricostruito a memoria. Vale lo stesso principio di un altro fronte della sicurezza nazionale, quello degli accreditamenti che sostituiscono i nulla osta aziendali: conta il sistema verificabile, non la parola data.

Decidere. Lo stesso impianto tiene insieme documenti, gestionali, archivi, sistemi e sensori dell’ente in un modello operativo unico — il data lake che diventa una cosa sola — su cui agenti AI eseguono decisioni con un operatore al comando, per grandi imprese, difesa, pubblica amministrazione e sanità. La conformità all’art. 37 è la porta d’ingresso; l’impianto decisionale che tiene insieme le stesse fonti per decidere, non solo per rispondere a un’ispezione, è quello che vendiamo. Sempre in due modalità — on-premise, su macchine autonome senza integrazione profonda nella rete del cliente, oppure cloud dedicato con data center in Italia — e sempre con gestione condivisa: chi non ha in casa chi amministra sistemi di AI non deve assumerlo.

Dalla prima sessione, senza costi, esce l’elenco datato di quali dati dimostrano quali misure dei vostri obblighi NIS, e dove stanno — comprese le caselle che restano vuote. Resta a voi anche se non proseguiamo insieme. Parlatene con un nostro tecnico.