Se sei il referente NIS2 della tua azienda, prima o poi te lo sarai chiesto: “Ma un controllo dell’ACN come si svolge in pratica? E soprattutto, possiamo essere ispezionati anche se non abbiamo fatto nulla di sbagliato?”
La risposta non è uguale per tutti. Dipende da un fattore che spesso viene sottovalutato: la classificazione del tuo soggetto come essenziale o importante.
Chi rischia un’ispezione “a sorpresa” — e chi no
L’Agenzia per la Cybersicurezza Nazionale, in qualità di Autorità nazionale competente NIS, può disporre verifiche e ispezioni. Ma le regole cambiano a seconda della categoria:
- Soggetti essenziali: le ispezioni, in loco o a distanza, possono essere disposte anche senza un motivo specifico (ex ante), compresi i controlli a campione.
- Soggetti importanti: qui si colloca la maggior parte delle PMI. Per voi l’ACN non può ispezionare “a sorpresa”. Può farlo solo se ha già acquisito prove, indicazioni o informazioni che facciano sospettare una violazione del decreto NIS.
Questo significa una cosa importante per una PMI “soggetto importante”: il controllo, quando arriva, non è mai casuale. Qualcosa lo ha innescato — una segnalazione, un incidente notificato in modo incompleto, un’anomalia nei dati trasmessi in fase di registrazione. Ed è proprio per questo che la coerenza tra ciò che dichiari e ciò che fai davvero conta più di quanto sembri.
Come si svolge concretamente un controllo
Quando l’Agenzia decide di attivarsi, lo fa attraverso tre leve, che può usare anche in combinazione:
- Verifica della documentazione già trasmessa — quindi tutto ciò che hai comunicato in fase di registrazione, di notifica incidenti o di autovalutazione periodica deve essere coerente e aggiornato.
- Ispezioni in loco o a distanza, compresi controlli a campione — l’Agenzia può presentarsi fisicamente o richiedere accesso da remoto.
- Richieste di accesso a dati, documenti e informazioni ulteriori, con obbligo per l’Agenzia di dichiarare la finalità della richiesta.
Non è quindi un unico evento formale, ma un processo che può partire “silenziosamente” dall’analisi di ciò che hai già inviato.
Cosa guarda davvero l’Agenzia
Anche quando si arriva a valutare una violazione, l’ACN non applica un giudizio automatico. La normativa impone un approccio graduale, basato su effettività, proporzionalità e dissuasività, e tiene conto di elementi molto concreti:
- gravità e durata della violazione;
- eventuali precedenti;
- danni causati, anche solo potenziali;
- se c’è stata intenzionalità o semplice negligenza;
- le misure che l’azienda ha già adottato per prevenire o attenuare il danno;
- l’adesione a codici di condotta o certificazioni;
- il livello di collaborazione dimostrato con l’Agenzia.
Il punto chiave per una PMI è questo: le misure preventive e la collaborazione pesano nella valutazione. Non conta solo essere conformi il giorno dell’ispezione, ma poter dimostrare un percorso di gestione del rischio strutturato e documentato nel tempo.
Dopo il controllo: diffida prima, sanzione dopo (ma non sempre)
Se emergono criticità, l’Agenzia dispone in genere di misure di esecuzione — intimazioni e diffide, con termini ragionevoli per adeguarsi — prima di ricorrere al potere sanzionatorio. I due strumenti restano però indipendenti e complementari: l’uso della diffida non esclude che possa seguire comunque una sanzione, soprattutto in caso di violazioni gravi o reiterate.
Il vero errore da evitare
Il rischio più concreto per una PMI “soggetto importante” non è tanto l’ispezione in sé, quanto arrivarci impreparati: documentazione non aggiornata, autovalutazioni mai fatte, misure di sicurezza esistenti ma non tracciate. È esattamente ciò che trasforma un controllo gestibile in una procedura lunga e costosa.
Vuoi sapere a che punto sei con gli obblighi NIS2 prima che lo faccia l’ACN? Richiedi un assessment NIS2 con FinData: verifichiamo insieme la tua classificazione, la coerenza della documentazione trasmessa e il livello di preparazione della tua azienda a un eventuale controllo.