Controllo ACN: cosa aspettarsi e come arrivare pronti col dossier

Con il D.Lgs. 138/2024, l’Agenzia per la Cybersicurezza Nazionale (ACN) è l’autorità che vigila sull’attuazione degli obblighi NIS2 in Italia: può chiedere informazioni ed evidenze, disporre verifiche e, in caso di inadempienze, applicare le sanzioni previste dal decreto. Un controllo ACN non si affronta la settimana prima: si prepara costruendo, mese dopo mese, un dossier che dimostri ciò che l’azienda fa davvero. Ecco cosa aspettarsi e come arrivarci pronti.

Cosa può fare ACN, in sintesi

La vigilanza si esercita con strumenti graduati: richieste di informazioni e di documentazione, verifiche sull’attuazione delle misure, fino a ispezioni e provvedimenti nei casi più gravi. L’intensità dipende anche dalla classificazione del soggetto — per i soggetti essenziali la vigilanza può essere anche preventiva, per i soggetti importanti interviene tipicamente a seguito di indizi di inadempimento. Il principio di fondo, però, è lo stesso per tutti: quando arriva una richiesta, devi essere in grado di rispondere con documenti e prove, in tempi brevi. Ed è qui che si vede la differenza tra chi ha un sistema e chi ha una cartella condivisa piena di file.

Cosa verificherà, realisticamente

Un controllo sull’attuazione della NIS2 segue una logica prevedibile, perché ricalca gli obblighi del decreto e le specifiche di base della Determinazione ACN 379907/2025 — i 16 ambiti e le 43 misure su cui hai (o dovresti aver) fatto l’autovalutazione. Le aree tipiche di verifica sono queste:

• Governance: gli organi di amministrazione hanno approvato le misure? Ci sono verbali, date, firme? I punti di contatto NIS2 sono nominati e aggiornati?
• Registrazione e dati ACN: le informazioni comunicate (referenti, servizi) sono corrette e aggiornate?
• Misure di sicurezza: per ciascuna misura dichiarata attuata, esiste l’evidenza corrispondente?
• Gestione dei rischi: c’è un registro dei rischi coerente con i servizi dichiarati, con decisioni di trattamento motivate?
• Incidenti: esiste una procedura di gestione e notifica? È stata applicata? Il personale la conosce?
• Fornitori: la catena di approvvigionamento è censita e valutata, con evidenze delle valutazioni?

Nota il filo conduttore: ogni domanda finisce con una richiesta di evidenza. La dichiarazione senza prova, in sede di controllo, vale zero.

Il dossier: la tua migliore difesa

Il modo più efficace di prepararsi è ragionare al contrario: costruire fin da subito il fascicolo che consegneresti domani mattina se arrivasse una richiesta. Un dossier ben fatto è ordinato per essere letto da qualcuno che non conosce la tua azienda, e contiene tre famiglie di materiali.

1. I documenti approvati

Politiche e procedure nella loro versione ufficiale: approvate dagli organi di amministrazione, datate, versionate. Non le bozze, non i modelli scaricati e mai adattati. Se un documento esiste in cinque versioni sparse tra email e cartelle condivise, davanti a un ispettore diventa un problema, non una prova: deve essere sempre identificabile qual è la versione vigente e chi l’ha approvata, quando.

2. I registri

Registro dei rischi, registro degli incidenti, registri delle attività periodiche (backup verificati, accessi riesaminati, formazione erogata, fornitori rivalutati). I registri sono la prova che il sistema vive: un registro con dieci mesi di righe a cadenza regolare racconta una storia credibile; uno compilato tutto insieme la settimana prima del controllo si riconosce al primo sguardo.

3. Le evidenze puntuali

Verbali di approvazione, attestati di formazione, esiti dei test di ripristino, questionari fornitori con relative risposte, rapporti di verifica. Ogni misura dichiarata attuata dovrebbe puntare ad almeno un’evidenza concreta e datata.

Come prepararsi: il metodo in cinque mosse

• Fai una verifica interna preventiva: prendi le 43 misure e, per ciascuna dichiarata attuata, cerca l’evidenza. Dove non la trovi, hai scoperto un buco prima che lo scopra qualcun altro
• Chiudi il cerchio delle approvazioni: ogni politica in bozza va portata all’approvazione formale della direzione, con data certa
• Metti in ordine il fascicolo: struttura unica, nomi chiari, versione vigente evidente — pensato per essere consegnato, non decifrato
• Prova la macchina degli incidenti: una simulazione interna rivela subito se la procedura di notifica è applicabile o solo scritta
• Prepara le persone: chi risponderebbe alle domande di un ispettore? La direzione deve saper spiegare le scelte fatte, non solo delegarne il racconto

Durante il controllo: tre regole di condotta

Primo: rispondi a ciò che viene chiesto, con precisione, senza volontariato documentale — consegnare materiale non richiesto e non riletto è il modo classico di aprire fronti nuovi. Secondo: non improvvisare. Se una risposta richiede una verifica, meglio dichiararlo e fornirla dopo, corretta, che inventarla sul momento. Terzo: la trasparenza sulle lacune note paga. Un rischio identificato, registrato e accompagnato da un piano di rimedio con date dimostra un sistema che funziona; una lacuna scoperta dall’ispettore e mai tracciata dimostra il contrario.

La preparazione migliore non sembra una preparazione

Le aziende che affrontano bene i controlli hanno una caratteristica comune: non si sono preparate per il controllo, si sono organizzate per lavorare in modo documentato. Il dossier, per loro, non è uno sforzo straordinario: è la fotografia di ciò che esiste già, sempre aggiornata e pronta da esportare. È la differenza tra recitare una parte e mostrare come si lavora davvero — e si vede.