Con le nuove FAQ dell’Agenzia per la Cybersicurezza Nazionale, i soggetti essenziali e importanti ai sensi del d.lgs. 138/2024 hanno ora indicazioni operative su come si svolge la vigilanza e quali sanzioni scattano in caso di inadempimento. Gli studi legali che assistono clienti rientranti nell’ambito NIS 2 devono conoscere questi meccanismi per impostare correttamente la consulenza su compliance e gestione del rischio. Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali.
Punti chiave
- Punto 1 — L’ACN può avviare ispezioni anche senza previa notifica al soggetto vigilato.
- Punto 2 — Le sanzioni per soggetti essenziali arrivano fino a 10 milioni di euro o 2% del fatturato globale.
- Punto 3 — La registrazione sulla piattaforma ACN è obbligo autonomo, distinto dagli adempimenti di sicurezza.
Gli studi legali che assistono imprese nei settori energia, trasporti, banche, sanità, infrastrutture digitali e affini devono aggiornare subito la propria consulenza sulla compliance NIS 2. Le FAQ pubblicate dall’ACN chiariscono il funzionamento concreto del sistema di vigilanza e sanzioni, colmando lacune operative che finora rendevano difficile consigliare i clienti con precisione su cosa aspettarsi in caso di controllo.
L’Agenzia per la Cybersicurezza Nazionale ha pubblicato un nuovo set di FAQ operative sul regime NIS 2, attuato in Italia con il d.lgs. 4 settembre 2024, n. 138, chiarendo modalità di vigilanza, poteri ispettivi e struttura sanzionatoria prevista dalla direttiva (UE) 2022/2555.
Il contesto normativo
Il d.lgs. 138/2024 recepisce la direttiva NIS 2 e distingue due categorie di soggetti: essenziali e importanti. L’art. 38 del decreto disciplina le misure di gestione del rischio di cybersicurezza, mentre gli artt. 49-51 regolano i poteri di vigilanza dell’ACN, incluse ispezioni in loco, audit e richieste documentali. Le sanzioni amministrative pecuniarie sono fissate dall’art. 54: fino a 10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali, fino a 7 milioni di euro o l’1,4% del fatturato per i soggetti importanti. L’obbligo di registrazione sulla piattaforma ACN è autonomo rispetto agli adempimenti tecnici e scatta secondo le tempistiche pubblicate dall’Agenzia.
Cosa cambia per lo studio
- Mappatura urgente dei clienti NIS 2. Prima di tutto verifica se i tuoi clienti rientrano tra i soggetti essenziali o importanti ai sensi degli allegati I e II del d.lgs. 138/2024. Settori coinvolti: energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, pubblica amministrazione e spazio.
- Le ispezioni ACN non richiedono preavviso obbligatorio. Le FAQ chiariscono che l’ACN può disporre controlli anche senza notifica anticipata al soggetto. Il cliente deve quindi essere già in regola con la documentazione tecnica e organizzativa al momento del controllo, non dopo.
- Responsabilità degli organi di amministrazione. L’art. 23 del d.lgs. 138/2024 pone in capo agli organi di gestione l’approvazione e la supervisione delle misure di cybersicurezza. Questo crea una responsabilità diretta per amministratori e consiglieri delegati, con riflessi sulla consulenza societaria e sulla gestione delle deleghe interne.
- La registrazione è un adempimento autonomo e immediato. Indipendentemente dallo stato di implementazione delle misure tecniche, il soggetto deve registrarsi sulla piattaforma ACN entro le scadenze indicate. L’omessa registrazione è già sanzionabile a sé stante.
- Segnalazione degli incidenti con tempistiche rigide. Le FAQ ribadiscono l’obbligo di pre-notifica entro 24 ore e notifica completa entro 72 ore da un incidente significativo, ai sensi dell’art. 25 del decreto. Occorre predisporre per i clienti procedure interne che rispettino questi termini.
Attenzione a
Non confondere l’ambito NIS 2 con il GDPR. I due regimi coesistono ma hanno perimetri, autorità di controllo e sanzioni distinti. Un incidente di sicurezza può simultaneamente attivare obblighi di notifica ACN (entro 24/72 ore) e notifica al Garante Privacy (entro 72 ore ai sensi dell’art. 33 GDPR): i contenuti e i destinatari sono diversi e vanno gestiti in parallelo, non in sequenza.
Non sottovalutare la responsabilità personale degli amministratori. L’art. 23 d.lgs. 138/2024 richiede che gli organi di gestione seguano formazione specifica in materia di cybersicurezza. L’assenza di questa formazione documentata può aggravare la posizione in sede di vigilanza e costituire elemento rilevante in una successiva azione di responsabilità verso gli amministratori.
Domande frequenti
Quali sanzioni prevede NIS 2 per i soggetti essenziali che non rispettano gli obblighi?
Il d.lgs. 138/2024 (art. 54) prevede per i soggetti essenziali sanzioni fino a 10 milioni di euro o il 2% del fatturato mondiale annuo, se superiore. Per i soggetti importanti il massimo scende a 7 milioni di euro o all’1,4% del fatturato. L’importo dipende da gravità della violazione, durata e livello di cooperazione con l’ACN durante la vigilanza.
L’ACN può fare ispezioni a sorpresa senza preavviso alle aziende soggette a NIS 2?
Sì. Le FAQ ACN chiariscono che i controlli possono avvenire anche senza notifica anticipata al soggetto vigilato. L’azienda deve quindi mantenere documentazione tecnica e organizzativa aggiornata in via continuativa. Non è sufficiente produrre la documentazione dopo aver ricevuto comunicazione di un’ispezione imminente.
Gli amministratori di società soggette a NIS 2 rischiano responsabilità personali?
Sì. L’art. 23 del d.lgs. 138/2024 attribuisce direttamente agli organi di gestione la responsabilità di approvare le misure di cybersicurezza e seguire formazione specifica. L’inadempimento espone gli amministratori a responsabilità sia in sede di vigilanza ACN sia, potenzialmente, in azioni di responsabilità promosse dalla società o da terzi danneggiati.
Fonte di riferimento: Diritto.it