Ispezione NIS2 dell'ACN — come preparare il dossier di evidenze

Questo playbook scatta quando la tua organizzazione è un soggetto NIS2 registrato — essenziale o importante — e l'Agenzia per la Cybersicurezza Nazionale (ACN), autorità competente italiana ai sensi del d.lgs. 138/2024, apre un'attività di vigilanza: una richiesta di documenti, una verifica a distanza, un'ispezione in loco o una richiesta di evidenze che le misure di sicurezza siano effettivamente in essere.

È un playbook di readiness, non un runbook di incidente. La notifica di un incidente significativo sul clock 24h / 72h / 1 mese è trattata nel playbook sulla timeline dell'art. 23; difendersi da una sanzione dopo una contestazione è trattato nel playbook sulle sanzioni dell'art. 38. Qui copriamo lo spazio tra i due: assemblare, e mantenere in continuo, il dossier di evidenze così che un'ispezione diventi un'esportazione invece di una corsa di due settimane.

Fuori ambito: i soggetti ancora dentro la finestra di registrazione che non hanno raggiunto alcuna scadenza di attuazione, e le autovalutazioni volontarie che nessuna autorità ha richiesto.

L'ACN è l'unica autorità competente e CSIRT per la NIS2 in Italia. I suoi poteri di vigilanza e di enforcement recepiscono gli articoli 32 (soggetti essenziali) e 33 (soggetti importanti) della direttiva NIS2, e non sono simmetrici:

• I soggetti essenziali possono essere ispezionati ex ante: all'ACN non serve un previo indizio di violazione. Attendi richieste di documenti, ispezioni in loco e a distanza, controlli casuali, richieste di accesso a dati e sistemi e la richiesta di dimostrare l'attuazione di ciascuna misura.
• I soggetti importanti sono vigilati ex post: l'ACN interviene quando vi sono indicazioni, elementi di prova o informazioni che facciano presumere una possibile violazione (per esempio, dopo un incidente).

Quale regime si applichi dipende dalla tua categorizzazione. La determinazione ACN 155238/2026 ripartisce i soggetti registrati in categorie; verifica la tua prima di costruire il dossier, perché un soggetto essenziale deve assumere che un'ispezione possa arrivare senza preavviso. Un incidente particolarmente grave può attivare l'ispezione per entrambe le classi.

La posta in gioco è fissata dal regime sanzionatorio (art. 38 del decreto): fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali, 7 milioni o 1,4% per gli importanti, applicando l'importo più alto — con l'organo di amministrazione personalmente responsabile delle misure di gestione del rischio.

Prima di assemblare le evidenze, fissa l'esatta baseline su cui sarai misurato. La fonte autorevole è la pagina NIS dell'ACN e le sue determinazioni, non i commenti secondari (che spesso sbagliano le date):

• Le misure di sicurezza di base sono fissate dalla determinazione ACN 379907/2025 (19 dicembre 2025, applicabile dal 15 gennaio 2026). L'Allegato 1 elenca 37 misure / 87 requisiti per i soggetti importanti; l'Allegato 2 elenca 43 misure / 116 requisiti per gli essenziali. Vulnerability assessment e penetration testing sono richiamati esplicitamente per i soggetti essenziali.
• La scadenza è per soggetto, non una data unica di calendario. Per i soggetti registrati nella coorte 2025, gli obblighi di notifica sono partiti a inizio 2026 e le misure di base scadono a 18 mesi dalla comunicazione di inserimento di ciascun soggetto — collocandosi nella seconda metà del 2026. Non pianificare su una data fissa "31 ottobre" che circola sulla stampa: conta 18 mesi dalla tua comunicazione.
• I soggetti della coorte 2026 (determinazione ACN 127434/2026) seguono un calendario più avanti: referente CSIRT entro il 31 dicembre 2026, notifiche degli incidenti dal 1° gennaio 2027, misure entro il 31 luglio 2027.
• La registrazione va fatta tra il 1° gennaio e il 28 febbraio di ogni anno; l'aggiornamento annuale delle informazioni tra il 15 aprile e il 31 maggio. Tenere correnti questi adempimenti è di per sé un elemento di evidenza che un ispettore può verificare per primo.

Un'ispezione verifica l'evidenza di attuazione, misura per misura. Costruisci una mappa che associ a ciascuna misura di gestione del rischio (art. 21 NIS2, recepito nella determinazione ACN) l'artefatto specifico che la dimostra — firmato, datato e aggiornato. Set minimo:

• Analisi del rischio e policy di sicurezza delle informazioni — la versione corrente approvata, con lo storico delle versioni e il verbale di approvazione.
• Gestione degli incidenti — il registro degli incidenti e, per ogni incidente significativo, la pre-notifica, la notifica a 72 ore e la relazione finale (riconciliate con quanto inviato ai sensi dell'art. 23).
• Continuità operativa e backup — il piano di continuità e i risultati degli ultimi test di ripristino (non il calendario dei backup, ma la prova che i backup si ripristinano).
• Sicurezza della supply chain — il registro dei fornitori, la classificazione dei fornitori che toccano funzioni essenziali e i record delle valutazioni, tenuti aggiornati.
• Gestione e divulgazione delle vulnerabilità — gli export delle scansioni e i record di remediation che le chiudono, più, per i soggetti essenziali, i risultati di VA/PT richiamati esplicitamente dall'ACN.
• Controllo degli accessi e MFA — la configurazione della console di amministrazione all'attivazione e a ogni modifica; l'evidenza che l'MFA è imposta dove richiesto.
• Crittografia, gestione degli asset, sicurezza del personale e formazione — l'inventario degli asset, la policy di crittografia e i registri di partecipazione alla formazione per personale e management.

Il test operativo per ogni riga: se l'ACN chiede "mostratemelo", un unico responsabile designato riesce a produrre l'artefatto in pochi minuti, con il timestamp originale intatto? Una misura senza evidenza recuperabile è, ai fini dell'ispezione, una misura che non sei in grado di dimostrare.

La NIS2 rende l'organo di amministrazione — non solo il team di sicurezza — responsabile di approvare le misure di gestione del rischio e di sovrintenderne l'attuazione (art. 20, recepito nel decreto). È una riga di evidenze separata che i team tecnici dimenticano di regola, ed è una contestazione rapida per un ispettore perché è documentale, non tecnica.

Tieni pronti:

• Verbali di approvazione delle misure di sicurezza e della policy da parte del CdA/organo di amministrazione — verbali o delibere, datati, che nominano le misure approvate, non un generico "si è parlato di sicurezza".
• La cadenza di supervisione — l'evidenza che l'organo di amministrazione riesamina periodicamente le misure (il punto ricorrente all'ordine del giorno, il report che riceve).
• I registri di formazione del management — la prova che gli amministratori hanno completato la formazione in cybersicurezza che la direttiva richiede loro, non solo il personale.
• La catena di responsabilità — chi è il punto di contatto designato con l'ACN, chi è titolare di ciascuna misura e la delega documentata dall'organo di amministrazione a scendere.

Se le misure sono attuate ma il CdA non le ha mai approvate formalmente, hai una lacuna di governance che resta anche quando i controlli tecnici sono perfetti.

Quando arriva la comunicazione o arrivano gli ispettori, il lavoro è recupero e disciplina, non costruzione:

1. Punto di contatto unico. Fai transitare tutto dal referente ACN designato; non lasciare che cinque persone rispondano in cinque modi alla stessa domanda.
2. Prendi atto e chiarisci l'ambito. Conferma per iscritto quali misure, quale periodo e quali soggetti copre la richiesta. Produci esattamente ciò che è richiesto — sovrapprodurre seppellisce il segnale e invita ulteriori richieste.
3. Produci dal dossier, con la provenienza. Esporta ciascun artefatto richiesto con il timestamp originale e la catena di custodia. Non modificare, ri-datare o "sistemare" un documento per rispondere a una richiesta: una policy retrodatata è una contestazione molto peggiore di una in ritardo.
4. Registra ogni scambio. Tieni un registro corrente di cosa è stato richiesto, cosa è stato prodotto e quando: diventa la tua prova di collaborazione.
5. Segnala con onestà ciò che è in corso. Per una misura ancora in roll-out, mostra il piano, il responsabile e la data obiettivo invece di improvvisare una risposta. Gli ispettori valutano la buona fede e la traiettoria, non solo lo stato finale.

La differenza tra un'ispezione pulita e una corsa affannata sta quasi interamente nel fatto che il dossier esistesse già. Se gli artefatti vanno rincorsi tra gli strumenti e rifirmati durante la finestra dell'ispezione, i dieci giorni lavorativi evaporano nell'assemblaggio invece che nelle risposte.

Schemi che trasformano un'ispezione in una contestazione, osservati in organizzazioni analoghe:

• Policy senza prova. Un PDF curato di analisi del rischio e nessuna evidenza che sia operato — nessun risultato dei test di ripristino, nessuna tracciabilità dalla scansione alla remediation, nessun log delle revisioni degli accessi. La policy è la metà facile; l'evidenza dell'operatività è ciò che l'ACN valuta.
• Il registro degli incidenti che non torna. Ciò che è nel registro non coincide con quanto notificato ai sensi dell'art. 23 — voci mancanti, o notifiche senza traccia nel registro. È la lacuna più facile da individuare.
• Documenti retrodatati. Ri-datare una policy o un registro di formazione per farli rientrare nella scadenza. Metadati e storico delle versioni lo tradiscono, e trasformano una carenza procedurale in una contestazione di integrità.
• Il questionario fornitori morto. Una valutazione dei fornitori fatta una volta all'onboarding, mai aggiornata, senza alcuna classificazione di quali fornitori toccano funzioni essenziali.
• La governance come assenso verbale. Misure attuate ma mai approvate formalmente dall'organo di amministrazione, senza verbali e senza evidenza della formazione del management.

La causa radice comune è che le evidenze sono assemblate per l'ispezione invece di essere prodotte in continuo come sottoprodotto dell'operare i controlli. È qui che l'approccio di Zero Hunt alla compliance ripaga: ogni scansione, finding e remediation è mappato sul framework pertinente e firmato nel momento in cui è creato (Ed25519, con hash-chain), con report firmati in ECDSA, così il dossier è un pacchetto verificabile e mantenuto in continuo che si esporta, non un documento da ricostruire. Poiché i finding sono mappati contemporaneamente sui 34 framework supportati, le stesse evidenze che rispondono a un'ispezione NIS2 rispondono anche a una richiesta ISO 27001 o DORA — un'unica base di prova, non tre percorsi paralleli. L'ispezione smette di essere un progetto e diventa un'esportazione.

Se l'ispezione fa emergere una carenza, la risposta dell'ACN è graduale: può impartire istruzioni vincolanti e diffide formali con un termine per rimediare e, per inadempienze gravi o persistenti, applicare le sanzioni amministrative dell'art. 38 — fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, 7 milioni o 1,4% per gli importanti, con l'organo di amministrazione nel perimetro.

Due conseguenze pratiche per la postura di readiness:

• Una diffida è un clock, non una conclusione. Trattala esattamente come la richiesta ispettiva: produci l'evidenza di remediation, datata e firmata, prima del termine che fissa. Il percorso completo di escalation e come rispondere è nel playbook sulle sanzioni dell'art. 38.
• L'evidenza di detection fa parte della postura. Le autorità vogliono sempre più la prova che un incidente lo vedresti davvero, non solo che hai delle policy; l'evidence pack della capacità di detection spiega come assemblare quella specifica riga del dossier.