Audit di vigilanza NIS2: le prove che le autorità chiedono davvero

Il 6 marzo 2026 il BSI tedesco è entrato nella fase di vigilanza attiva. Da quella data può esigere prove delle tue misure di sicurezza senza attendere un incidente. Nessuna violazione, nessun reclamo — solo una lettera che ti chiede di dimostrare la tua postura di conformità NIS2 entro una scadenza fissata.

Un audit di vigilanza NIS2 non è più un rischio teorico. In 14 Stati membri sono in corso programmi di audit, e le prime azioni di enforcement sono state segnalate in Belgio, Italia e Ungheria. Per consulenti IT, MSP e vCISO la domanda è cambiata: da "il mio cliente rientra nell'ambito di applicazione?" a "il mio cliente può produrre prove su richiesta?"

Questo articolo copre cosa chiedono davvero le autorità, cosa succede quando le prove non bastano, e come costruire un fascicolo probatorio difendibile prima che arrivi la lettera.

L'enforcement è passato dalla registrazione alle prove

Il 2025 è stato l'anno delle scadenze di registrazione. Il 2026 è l'anno della verifica.

Il BSI tedesco può ora richiedere in modo proattivo la documentazione delle misure di sicurezza alle entità registrate — secondo quanto riportato, decine di avvisi formali sono già partiti. L'ANSSI francese ha emesso ordini di adeguamento nel suo quadro NIS2. Il CCB belga ha aperto ad aprile 2026 la finestra di audit per le entità essenziali, legata allo schema di valutazione della conformità CyFun che abbiamo trattato nella nostra guida alla scadenza degli audit in Belgio.

Lo schema è coerente in tutti gli Stati membri. Le entità essenziali sono soggette a vigilanza ex ante: le autorità possono effettuare audit in qualsiasi momento, senza sospetto. Le entità importanti sono soggette a vigilanza ex post: audit attivati da incidenti, reclami o indizi di non conformità. In entrambi i casi la richiesta arriva come un'esigenza di documenti, non come una visita in sede.

Le prime sanzioni economiche sono state segnalate in Belgio (185.000 €), Italia (450.000 €) e Ungheria (78.000 €). Che ogni caso segnalato regga in appello conta meno della direzione: le autorità hanno superato la fase delle campagne di sensibilizzazione.

Il fascicolo probatorio deriva direttamente dall'articolo 21

Le autorità non chiedono "sei sicuro?". Chiedono la prova che ciascuna delle dieci misure dell'articolo 21(2) esista, sia attuata e venga riesaminata.

In pratica, le richieste di prove si concentrano su cinque tipi di documento per misura.

Politiche. Un documento datato e approvato dall'organo di gestione per ogni misura. Una politica di analisi dei rischi senza la firma del management non supera l'articolo 20 — l'organo di gestione deve approvare le misure, e gli auditor verificano quell'approvazione.

Valutazioni dei rischi. La valutazione corrente più almeno una versione precedente. Gli auditor cercano l'iterazione. Un'unica valutazione dei rischi di novembre 2024 mai aggiornata segnala un esercizio di facciata.

Prove di attuazione. Screenshot, configurazioni, contratti. Report di applicazione della MFA dal tuo identity provider. Log dei test di ripristino dei backup. Clausole di sicurezza nei contratti in essere con i fornitori — vedi la nostra guida ai contratti con i fornitori per cosa devono contenere.

Verifiche di efficacia. L'articolo 21(2)(f) impone di valutare se le misure funzionano. Report di audit interni, risultati di penetration test, verbali di esercitazioni tabletop con rilievi datati e azioni di follow-up. Abbiamo analizzato questo ciclo di audit in un articolo dedicato.

Registri di formazione. Elenchi di presenza e date della formazione sull'igiene informatica — management compreso. L'articolo 20(2) rende obbligatoria la formazione dell'organo di gestione, ed è una delle lacune più facili da trovare per un auditor.

Un esempio concreto: negli audit belgi basati su CyFun, le entità devono mostrare prove per controllo, non per tema. "Abbiamo i backup" non è una risposta. Un report datato di test di ripristino dell'ultimo trimestre sì.

Le autorità nazionali fanno la stessa domanda in formati diversi

La direttiva è europea; la burocrazia è nazionale. Tre esempi mostrano la varietà.

La Germania si aspetta prove strutturate delle misure. Il modello di vigilanza del BSI si basa sulla prassi KRITIS consolidata di presentazione formale delle prove, e le entità registrate devono attendersi richieste riferite a categorie di misure specifiche — vedi la nostra guida all'enforcement in Germania per la tempistica.

Il Belgio gestisce lo schema più formalizzato dell'UE. Le valutazioni CyFun procedono controllo per controllo, con livelli di assurance legati alla classificazione dell'entità. Le prove vengono valutate, non solo raccolte.

L'ACN italiana scagliona gli obblighi per categoria e scadenza: le prove attese da un cliente dipendono da quando è partito l'orologio della sua categoria — abbiamo mappato quelle date nel nostro articolo sulla categorizzazione italiana.

Per i consulenti con clienti in più Stati membri, la risposta pratica è costruire il fascicolo una sola volta, allineato all'articolo 21, e poi formattarlo secondo ogni schema nazionale su richiesta. Gli artefatti sottostanti — politiche firmate, report di test, registri di formazione — sono gli stessi ovunque.

Cosa succede quando le tue prove non bastano

Una richiesta di prove non soddisfatta raramente porta subito a una sanzione. Avvia una sequenza — e ogni passo alza il costo.

Prima arriva un'istruzione vincolante o un ordine di adeguamento con una scadenza, in genere da uno a tre mesi. Mancala, e l'autorità può ordinare un audit di sicurezza a tue spese, eseguito da una parte esterna qualificata. Ancora non conforme? Entrano in gioco le sanzioni: fino a 10 milioni di euro o il 2% del fatturato mondiale per le entità essenziali, 7 milioni o l'1,4% per le entità importanti.

Per le entità essenziali, due sanzioni fanno più male di qualsiasi multa. Le autorità possono sospendere certificazioni o autorizzazioni necessarie per operare. E possono vietare temporaneamente a singoli dirigenti di esercitare funzioni di gestione fino al ripristino della conformità. Abbiamo già spiegato perché queste sanzioni fanno più male delle multe — l'interdizione di un CEO non è una voce di budget.

C'è anche un effetto sulla catena di fornitura. Un'entità sotto ordine di adeguamento diventa un rischio fornitore documentato per ogni cliente che deve valutare la sicurezza dei fornitori ai sensi dell'articolo 21(2)(d). Perdi il tuo fascicolo probatorio e puoi perdere contratti prima che un'autorità incassi un centesimo.

Come MSP e consulenti devono preparare i clienti adesso

Non si costruiscono diciotto mesi di prove nelle tre settimane successive all'arrivo di una lettera. Ma puoi rendere un cliente pronto all'audit in un trimestre se lavori nell'ordine giusto.

Settimane 1–2: inventario dell'esistente. Raccogli ogni politica, valutazione e report del cliente. Collega ogni documento a una misura dell'articolo 21(2). Le lacune che trovi sono la tua lista di lavoro — esegui una gap analysis strutturata se il cliente non ne ha mai fatta una.

Settimane 3–8: chiudi le lacune documentali. Fai approvare e firmare dal management le politiche senza data. Pianifica le attività mancanti che generano prove: un test di ripristino, un'esercitazione tabletop, una sessione di formazione per il management. Ognuna produce un artefatto datato.

Settimane 9–12: costruisci il fascicolo vero e proprio. Una struttura di cartelle, un indice, un responsabile. Per misura: politica, ultima valutazione, prova di attuazione, ultima verifica di efficacia. Se la lettera dell'autorità arriva di martedì, la risposta deve essere un export, non un progetto.

Per gli MSP c'è un risvolto commerciale. La preparazione agli audit è un servizio ricorrente — le prove invecchiano, le verifiche si ripetono, la formazione torna ogni anno. Gli MSP che vincono business NIS2 nel 2026 non vendono firewall. Vendono il fascicolo probatorio e il processo che lo tiene aggiornato.

Non sai a che punto è oggi un cliente? Avvia un quick scan NIS2 gratuito — richiede pochi minuti e mostra quali misure dell'articolo 21 hanno bisogno di prove per prime.

La lettera di audit è una scadenza che puoi battere

Gli audit di vigilanza premiano la preparazione e puniscono l'improvvisazione. Il copione delle autorità è pubblico: l'articolo 21 elenca le misure, l'articolo 20 assegna la responsabilità, e le autorità nazionali hanno mostrato quali prove si aspettano.

Tratta il fascicolo probatorio come il deliverable. Un cliente con politiche firmate, report di test datati e registri di formazione aggiornati ha poco da temere da un avviso del BSI o da una finestra di audit del CCB. Un cliente con buone intenzioni e nessun documento è a una lettera da un ordine di adeguamento.

La lettera prima o poi arriverà. Cosa troverà dipende da te.