Audit ACN e ispezioni NIS2: come prepararsi e superare i controlli

C’è una differenza sostanziale tra un’azienda conforme alla NIS2 e un’azienda capace di dimostrare di esserlo. La prima ha implementato i controlli richiesti dalla normativa; la seconda è in grado di documentarli e difenderli sotto la pressione di un’ispezione reale dell’Agenzia per la Cybersicurezza Nazionale (ACN). Con il 2026 le scadenze diventano operative e i poteri di verifica dell’ACN iniziano a mordere: è il momento di passare dalla compliance formale alla audit readiness.

Questa guida spiega chi controlla, cosa controlla davvero un audit ACN, quali sono le scadenze che rendono concreto il rischio di ispezione e come simulare internamente una verifica per chiudere le lacune prima che lo facciano gli ispettori.

‍

Conformità “sulla carta” e conformità dimostrabile: perché non sono la stessa cosa

Molte organizzazioni hanno prodotto policy, nominato responsabili e acquistato tecnologie, convinte di essere a posto. Ma in sede di ispezione l’ACN non valuta le intenzioni: valuta le evidenze. Una misura adottata solo sulla carta, mai testata e priva di tracce documentali, in un audit pesa quanto una misura del tutto assente.

La conformità dimostrabile poggia su tre requisiti che ogni misura deve soddisfare:

• Tracciabilità – esistono evidenze oggettive (log, verbali, registri, ticket) che provano che la misura è attiva?
• Aggiornamento – la documentazione è ancora valida e rispecchia la realtà attuale dei sistemi?
• Condivisione – le persone coinvolte conoscono il contenuto delle procedure e sanno applicarle?

‍

Chi controlla: i poteri ispettivi dell’ACN sotto la NIS2

Il D.Lgs. 138/2024, che recepisce la Direttiva NIS2 in Italia, individua l’ACN come autorità nazionale competente con pieni poteri di vigilanza, ispezione e sanzione. L’Agenzia può richiedere informazioni, accedere alla documentazione rilevante per la sicurezza dei sistemi informativi e di rete e svolgere attività di accertamento presso i soggetti obbligati.

Vigilanza ex ante e vigilanza ex post: la differenza tra essenziali e importanti

Il regime di controllo non è uguale per tutti. I soggetti essenziali sono sottoposti a una vigilanza ex ante: l’ACN può disporre verifiche e ispezioni in qualsiasi momento per accertare la conformità, a prescindere dal verificarsi di un incidente. I soggetti importanti, invece, sono soggetti a una vigilanza prevalentemente ex post: i controlli scattano di norma a seguito di una sospetta violazione o dopo un incidente significativo.

Cosa può fare l’ACN durante un’ispezione

• Richiedere informazioni e accedere a documenti, policy, registri e configurazioni rilevanti per la sicurezza.
• Svolgere audit on-site e verifiche tecniche presso le sedi e sui sistemi del soggetto.
• Imporre misure correttive vincolanti con scadenze definite.
• Avviare il procedimento sanzionatorio in caso di violazioni accertate.

Le sanzioni: quanto rischia chi non supera il controllo

A queste si aggiunge la responsabilità diretta e non delegabile degli organi di amministrazione prevista dall’art. 23 del D.Lgs. 138/2024: la delega operativa è ammessa, ma la responsabilità resta in capo al vertice aziendale.

‍

Le scadenze 2026 che rendono concreto il rischio audit

Il 2026 è l’anno in cui gli obblighi NIS2 diventano operativi e verificabili. Conoscere il calendario è il primo passo per capire quando si “apre la finestra” delle ispezioni.

‍

Cosa controlla davvero un audit ACN

In prospettiva ottobre 2026, la vera criticità non sarà tanto avere su carta tutte le misure di base, quanto dimostrare la coerenza sistemica tra il perimetro degli asset, l’analisi del rischio e i controlli adottati. L’audit readiness dipende dalla capacità di mantenere evidenze coerenti, in cui ogni controllo si mappa direttamente a un obbligo. Ecco i documenti che l’ACN chiederà con maggiore probabilità:

• Documento di valutazione dei rischi (Risk Assessment / DVR Cyber) – l’ultima versione approvata, con metodologia, rischi residui accettati e razionale delle scelte.
• Inventario degli asset – sistemi, applicazioni, dati e fornitori, allineato al perimetro dichiarato.
• Policy e procedure – sicurezza, gestione degli accessi, backup, gestione degli incidenti, business continuity.
• Registri operativi – log, registro degli incidenti, registro delle formazioni, verbali del board, piani di test.
• Evidenze di gestione della supply chain – valutazione e clausole contrattuali sui fornitori critici.

Regola d’oro: in caso di ispezione, la mancanza di evidenze documentali pesa quanto la mancanza delle misure stesse.

‍

Simulare un audit ACN: il mock audit in 6 step

Il modo più efficace per scoprire le lacune prima degli ispettori è riprodurre l’ispezione internamente. Un mock audit mette alla prova non i documenti, ma la capacità dell’organizzazione di reperirli e spiegarli sotto pressione.

1. Definisci il perimetro. Parti dall’elenco di asset e servizi dichiarati e verifica che corrisponda alla realtà operativa.
2. Nomina un “ispettore” interno. Una persona che non ha redatto la documentazione, per simulare lo sguardo esterno dell’ACN.
3. Richiedi le evidenze a tempo. Chiedi i documenti chiave imponendo una scadenza stretta: misura quanto tempo serve davvero per produrli.
4. Verifica la coerenza incrociata. Controlla che risk assessment, inventario asset e controlli implementati raccontino la stessa storia.
5. Testa i processi, non solo le carte. Simula la notifica di un incidente entro 24/72 ore e verifica che il flusso funzioni nella pratica.
6. Documenta i gap e assegna le azioni. Trasforma ogni lacuna in un’azione correttiva con responsabile e scadenza.

‍

Le lacune più frequenti (e come chiuderle prima degli ispettori)

• Disallineamento perimetro-rischio-controlli. L’inventario asset non coincide con ciò che il risk assessment analizza. Soluzione: un’unica matrice che colleghi asset, rischi e misure.
• Documenti obsoleti. Policy approvate due anni fa e mai aggiornate. Soluzione: ciclo di revisione periodica con data e versione tracciate.
• Processi mai testati. Piani di incident response e backup esistenti solo sulla carta. Soluzione: test ed esercitazioni documentate.
• Board non coinvolto. Mancano verbali che provino la supervisione del vertice. Soluzione: portare la cyber in CdA e verbalizzare le decisioni.
• Supply chain trascurata. Nessuna valutazione dei fornitori critici. Soluzione: due diligence e clausole contrattuali sulla sicurezza.

‍

Checklist di audit readiness NIS2

• Perimetro di asset e servizi mappato e allineato alla categorizzazione ACN.
• Risk assessment aggiornato, approvato e con rischi residui formalizzati.
• Policy e procedure versionate, datate e comunicate al personale.
• Misure di base operative con evidenze documentali per ciascun obbligo.
• Processo di notifica incidenti testato (pre-notifica 24h, notifica 72h, relazione finale).
• Registri operativi (log, incidenti, formazione) tenuti con continuità.
• Coinvolgimento e responsabilità del board verbalizzati.
• Gestione documentata del rischio dei fornitori critici.
• Mock audit eseguito almeno una volta, con gap chiusi e ritestati.

‍

Dalla compliance formale alla postura difendibile

La compliance apparente – costruita su misure soltanto sulla carta e su processi mai testati – non reggerà la fase ispettiva che si apre dopo ottobre 2026. La NIS2 richiede un approccio strutturato: non basta adottare i controlli, occorre documentare perché sono stati scelti, come sono stati implementati e quale rischio residuo è stato accettato. È questo che trasforma un faldone di policy in una postura di sicurezza difendibile davanti all’ACN.

‍

___

Vuoi arrivare pronto all'ispezione ACN?

e-cons affianca le aziende nell'intero percorso di adeguamento alla NIS2: gap analysis, risk assessment, redazione di policy e procedure, implementazione delle misure di base e simulazione di audit ACN (mock audit) per trasformare la compliance formale in una postura difendibile.

Contattaci per una consulenza

Richiedi una valutazione preliminare gratuita del tuo livello di conformita NIS2.