Le nuove FAQ chiariscono anzitutto che, nell’esercizio delle proprie funzioni, l’Agenzia monitora e valuta il rispetto da parte dei soggetti NIS degli obblighi previsti dal decreto, compresi quelli in materia di gestione del rischio per la sicurezza informatica e di notifica degli incidenti, nonché degli ulteriori adempimenti definiti attraverso le determinazioni adottate dall’ACN.
L’Agenzia richiama espressamente un approccio graduale e basato sul rischio, che impone di valutare le caratteristiche della singola fattispecie e una serie di elementi concreti tra cui la gravità e la durata della violazione, l’importanza delle disposizioni inosservate, l’eventuale presenza di precedenti violazioni, i danni materiali o immateriali causati, il carattere intenzionale o negligente della condotta e le misure eventualmente adottate dal soggetto per prevenire o attenuare le conseguenze negative.
Rilevano inoltre l’eventuale adesione a codici di condotta o meccanismi di certificazione approvati e, soprattutto, il livello di collaborazione del soggetto con l’Autorità.
Il quadro delineato dalle FAQ conferma quindi che la posizione del soggetto NIS viene valutata anche alla luce del comportamento complessivamente tenuto prima, durante e dopo l’emersione della criticità e non solo in riferimento alla specifica violazione.
La parte più significativa dei chiarimenti riguarda forse il ruolo attribuito alle attività di monitoraggio, analisi e supporto, che costituiscono il primo ambito della vigilanza, in questa parte ACN precisa che si tratta di attività a carattere sistematico e continuativo, finalizzate a conoscere lo stato di attuazione degli obblighi da parte dei soggetti NIS per accompagnarli nel percorso di conformità.
Il monitoraggio consiste, in particolare, nell’acquisizione di tutti gli elementi necessari a comprendere come ciascun soggetto stia attuando gli obblighi previsti dal decreto. Le informazioni già trasmesse all’Autorità, a partire da quelle fornite in fase di registrazione, costituiscono quindi un primo patrimonio informativo su cui si basa l’attività di vigilanza.
Quando tali dati non siano sufficienti, però, l’Agenzia può richiedere ulteriori elementi, anche mediante rendicontazioni periodiche o autovalutazioni.
Questo passaggio assume particolare importanza sotto il profilo operativo, perché chiarisce che la vigilanza può svilupparsi ben prima di una vera e propria ispezione e può fondarsi su un flusso informativo continuo tra soggetto NIS e Autorità.
L’attività dianalisi costituisce il momento successivo, nel quale le informazioni raccolte vengono valutate in modo complessivo per determinare le priorità di intervento e, più in generale, per individuare possibili indirizzi di sviluppo della regolamentazione.
Accanto al monitoraggio e all’analisi si colloca infine l’attività di supporto, attraverso la quale l’Agenzia accompagna i soggetti nell’attuazione degli obblighi prima e indipendentemente dall’esercizio dei poteri ispettivi o di esecuzione.
In questo ambito rientrano, secondo le FAQ, le raccomandazioni, le linee guida, la stessa predisposizione delle FAQ e l’attività divulgativa svolta nell’ambito dei tavoli settoriali e in collaborazione con le associazioni rappresentative.
Le FAQ dedicano poi particolare attenzione ai poteri di verifica e ispezione, chiarendo una differenza centrale tra soggetti essenziali e soggetti importanti. Nei confronti dei soggetti essenziali, le ispezioni in loco e a distanza, compresi i controlli casuali, possono essere disposte anche ex ante, mentre nel caso di soggetti importanti le ispezioni non possono essere attivate preventivamente in assenza di elementi specifici. In questo caso, l’Agenzia può procedere soltanto quando abbia acquisito o ricevuto elementi di prova, indicazioni o informazioni che facciano emergere una possibile violazione del decreto NIS.
La distinzione conferma quindi una maggiore intensità del regime di vigilanza applicabile ai soggetti essenziali, coerente con il ruolo che tali soggetti assumono nel sistema complessivo di sicurezza.
Nell’esercizio dei poteri ispettivi, l’Autorità può innanzitutto verificare la documentazione e le informazioni trasmesse ai sensi del decreto, ma può anche effettuare vere e proprie ispezioni in loco o a distanza. Può inoltre richiedere l’accesso a dati, documenti e ulteriori informazioni ritenute necessarie, indicando la finalità della richiesta e specificando gli elementi che intende acquisire.
Per i soggetti NIS, il chiarimento ha una conseguenza immediata: non è sufficiente aver adottato misure organizzative e tecniche adeguate, ma occorre anche essere in grado di produrre evidenze verificabili che consentano all’Autorità di ricostruire il percorso di conformità seguito.
Le FAQ chiariscono poi il ruolo delle misure di esecuzione disciplinate dall’articolo 37 del decreto di attuazione NIS
Si tratta dei provvedimenti attraverso i quali l’Autorità richiede al soggetto NIS di conformare la propria condotta agli obblighi previsti, di rimediare alle carenze riscontrate oppure di far cessare comportamenti assunti in violazione delle prescrizioni applicabili. Anche in questa fase, l’azione dell’Autorità non si sviluppa in modo isolato, perché tiene conto sia delle risultanze emerse durante il monitoraggio, l’analisi e il supporto, sia degli esiti delle verifiche e delle ispezioni.
La sequenza delineata dalle FAQ mostra quindi come le diverse forme di intervento siano tra loro collegate e possano alimentarsi reciprocamente.
Occorre tuttavia sottolineare che l’adozione di una misura di esecuzione non esclude il possibile esercizio del potere sanzionatorio, le due funzioni restano, infatti, distinte: la prima è diretta principalmente a ottenere il ripristino della conformità, mentre la seconda ha lo scopo di reprimere la violazione già commessa.
L’ultimo ambito richiamato dalle nuove FAQ riguarda le sanzioni amministrative pecuniarie e accessorie, l’ACN precisa che, pur essendo le fattispecie di illecito amministrativo previste dall’articolo 38 del decreto le medesime, l’entità delle sanzioni pecuniarie e l’ambito delle misure accessorie variano a seconda della categoria cui appartiene il destinatario. Anche in questo caso, tuttavia, la risposta sanzionatoria resta inserita nella logica più ampia della proporzionalità e della valutazione concreta della condotta.
Non rileva soltanto la violazione in sé, ma anche la sua gravità, la durata, le conseguenze prodotte, il comportamento del soggetto e il livello di collaborazione garantito all’Autorità.
Questo elemento suggerisce una considerazione particolarmente importante per le organizzazioni: la gestione di un rilievo dell’ACN non dovrebbe essere affrontata soltanto in chiave difensiva, ma anche attraverso una risposta tempestiva, documentata e collaborativa, capace di dimostrare l’effettiva volontà di rimediare alle carenze riscontrate.
Le nuove FAQ rendono più chiaro come la vigilanza possa concretamente svilupparsi nella pratica, il primo tra gli elementi che emerge è proprio il rapporto con l’Autorità che, come si è avuto modo di analizzare, non nasce necessariamente con l’ispezione. Il monitoraggio ha carattere sistematico e continuativo e può comportare richieste di informazioni, rendicontazioni o autovalutazioni in maniera costante. Conseguentemente, i soggetti NIS devono essere in grado di mantenere costantemente aggiornato il quadro delle misure adottate e delle relative evidenze.
Il secondo aspetto riguarda la tracciabilità della compliance: procedure, valutazioni del rischio, misure tecniche, ruoli interni, attività di monitoraggio, gestione degli incidenti e interventi correttivi devono poter essere ricostruiti e documentati. Il messaggio che emerge dalle nuove FAQ è dunque piuttosto chiaro: nell’ambito NIS, la conformità non può essere considerata come un adempimento statico da completare una volta per tutte.
L’attività di vigilanza si sviluppa su un rapporto continuativo con i soggetti regolati e sulla possibilità per l’Agenzia di acquisire informazioni, analizzarle, richiedere chiarimenti, effettuare verifiche, imporre misure correttive e, quando necessario, applicare sanzioni.
Per le imprese e per le amministrazioni coinvolte diventa quindi essenziale costruire un sistema nel quale ogni obbligo sia associato a responsabilità definite, misure concretamente adottate ed evidenze in grado di dimostrarne l’effettiva attuazione.
Riferimenti normativi:
Copyright © – Riproduzione riservata
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
