L’Agenzia per la cybersicurezza nazionale ha aggiornato le FAQ relative alla disciplina NIS, introducendo le nuove FAQ MVE.1, MVE.2, MVE.3, MVE.4 e MVE.5, sulle attività di monitoraggio, vigilanza ed esecuzione.
La FAQ MVE.1 chiarisce che l’attività di vigilanza ed esecuzione si articola in quattro ambiti – monitoraggio, analisi e supporto; verifiche e ispezioni; misure di esecuzione; sanzioni amministrative pecuniarie e accessorie – attraverso i quali l’Agenzia monitora e valuta il rispetto degli obblighi da parte dei soggetti NIS.
La medesima FAQ conferma che tale attività è esercitata con un approccio graduale basato sul rischio, secondo i principi di effettività, proporzionalità e dissuasività e tenendo conto delle peculiarità di ciascuna fattispecie.
Con riferimento al monitoraggio, all’analisi e al supporto, la FAQ MVE.2 ne evidenzia il carattere sistematico e continuativo e la finalità di accompagnare i soggetti NIS nell’attuazione degli obblighi.
La medesima FAQ specifica che con il monitoraggio l’Agenzia acquisisce gli elementi necessari a conoscere lo stato di attuazione degli obblighi, con l’analisi ne valuta le risultanze e con il supporto affianca i soggetti attraverso, ad esempio, raccomandazioni, linee guida e attività divulgativa.
Con riferimento alle verifiche e alle ispezioni, la FAQ MVE.3 chiarisce che l’attività ispettiva può essere esercitata ex ante soltanto nei confronti dei soggetti essenziali.
La FAQ MVE.4 precisa che con le misure di esecuzione l’Agenzia richiede ai soggetti NIS di conformare la propria condotta agli obblighi, di rimediare alle carenze accertate o di far cessare le condotte assunte in violazione, mediante intimazioni e diffide.
Infine, la FAQ MVE.5 chiarisce che l’entità delle sanzioni pecuniarie e l’ambito delle misure accessorie variano a seconda che il soggetto sia essenziale, importante o una Pubblica Amministrazione.
