NIS2 en Italie : ce que l'ACN vérifie vraiment

Quand l'ACN ouvre votre dossier NIS, elle ne demande pas un certificat. Elle demande des documents datés. En pratique, elle regarde quatre choses. Votre enregistrement sur le portail ACN et sa mise à jour annuelle. L'approbation des mesures par les organes de direction et d'administration. L'état de chaque mesure de gestion des risques en matière de cybersécurité, avec la preuve associée. La traçabilité de vos notifications d'incidents importants. Tout le reste est accessoire. Cet article aligne, obligation par obligation, le document que vous devez pouvoir mettre sur la table.

Monitoring, contrôles et inspections : trois activités différentes

Les FAQ de l'ACN sur le monitoring, la supervision et l'exécution distinguent trois niveaux. Le monitoring est continu et largement passif de votre côté : l'Agence collecte, analyse et accompagne. Les contrôles et les inspections sont des activités ponctuelles, fondées sur les documents. Les mesures d'exécution viennent après, comme résultat.

La différence opérationnelle tient au déclencheur. Pour les entités essentielles, les contrôles peuvent être ordonnés ex ante, sans fait déclencheur. Pour les entités importantes, l'Agence agit lorsqu'elle dispose d'éléments de preuve, d'indications ou d'informations. Même loi, deux portes d'entrée différentes.

Conséquence pratique : si vous êtes une entité essentielle, le dossier doit être cohérent en permanence, pas seulement après un incident.

Essentielle ou importante : ce n'est pas vous qui décidez

La catégorie découle du secteur, pas d'une auto-déclaration. Les secteurs hautement critiques figurent à l'annexe I (annexe 1) de la directive, les autres secteurs critiques à l'annexe II (annexe 2). Au secteur s'ajoute le test de taille. Le seuil est de 50 salariés ou plus, ou de plus de 10 millions d'euros de chiffre d'affaires ou de total du bilan annuel.

Certaines entités sont concernées quelle que soit leur taille. C'est le cas, entre autres, des fournisseurs de services DNS et des registres de noms de domaine de premier niveau. Cela vaut aussi pour les prestataires de services de confiance qualifiés. C'est pourquoi la liste italienne des entités NIS contient aussi de très petites entreprises.

Une entité de l'annexe II (annexe 2) n'est jamais essentielle. À l'annexe I (annexe 1), sont essentielles les entités qui dépassent les plafonds de la moyenne entreprise. S'y ajoutent les catégories retenues quelle que soit la taille.

Le calendrier que l'Agence a déjà en main

L'ACN part de données que vous avez fournies vous-même. L'enregistrement ou sa mise à jour pour les entités NIS se déroule chaque année du 1er janvier au 28 février. Du 15 avril au 31 mai, les entités NIS effectuent la mise à jour annuelle de leurs informations.

Viennent ensuite les échéances de fond. Pour les entités inscrites sur la liste en 2025, l'ACN indique janvier 2026 comme début de l'obligation de notification des incidents. La date limite pour achever les mesures de base de cybersécurité est octobre 2026. Pour celles qui entrent sur la liste en 2026, le calendrier glisse. Notifications à partir du 1er janvier 2027, mesures de base avant le 31 juillet 2027.

Le contexte européen aide à comprendre où nous en sommes. Le 8 juillet 2026, la Commission a saisi la Cour de justice contre l'Irlande, l'Espagne, la France et les Pays-Bas. Le motif : l'absence de notification de la transposition complète de la directive. La Commission a demandé à la Cour une somme forfaitaire et des astreintes journalières. La Cour ne s'est pas prononcée et aucune sanction n'a été infligée. L'Italie, elle, a transposé dans le délai du 17 octobre 2024. Le décret législatif 138/2024 a été publié au Journal officiel le 1er octobre 2024 et est en vigueur depuis le 16 octobre 2024. Ici, la question n'est plus de savoir s'il y aura une loi, mais ce qu'on vous demandera de montrer.

Les preuves pour chaque mesure de l'art. 21(2)

L'art. 21(2), points (a) à (j), énumère les mesures de gestion des risques en matière de cybersécurité. Un contrôle ne veut pas un document unique. Il veut, mesure par mesure, un statut, un rôle responsable, un lien vers la preuve et une date de prochain réexamen.

Deux exemples concrets.

Chaîne d'approvisionnement. Le 24 juillet 2026, l'ACN a mis à jour ses FAQ sur les mesures de sécurité de la chaîne d'approvisionnement (MSB.13-MSB.19). Le processus attendu a des phases définies : évaluation du risque lié à la fourniture, identification des exigences de sécurité, application des exigences et leur vérification. Les exigences doivent être modulées selon la proportionnalité, la pertinence et l'adéquation aux prestations réellement confiées. Un questionnaire identique pour tous les fournisseurs n'est pas la réponse.

Continuité des activités. « Nous avons un plan » ne résiste pas à un contrôle. Un plan avec un RPO et un RTO déclarés, la date du dernier test et son résultat, oui.

Il en va de même pour la cryptographie : une politique sans date de réexamen est une politique que personne n'a regardée.

Alerte précoce à 24 heures, notification à 72 heures, rapport final à un mois

La chaîne est définie à l'art. 23(4) de la directive. Alerte précoce sans retard injustifié et en tout état de cause dans les 24 heures après avoir eu connaissance de l'incident important. Notification de l'incident dans les 72 heures. Un rapport intermédiaire sur demande. Et un rapport final au plus tard un mois après la notification.

En Italie, la détermination ACN 379907 du 19 décembre 2025 s'applique depuis le 15 janvier 2026. Elle rend opérationnelle la même chaîne vers le CSIRT Italia : pré-notification dans les 24 heures, notification complète dans les 72 heures.

La preuve demandée n'est pas le message envoyé. C'est le moment où vous avez eu connaissance du fait, qui a évalué le caractère important, selon quel critère, et l'horodatage de chaque étape. Sans ces trois éléments, une notification ponctuelle ne prouve rien.

Une note de réalisme. Pour le seul mois de juillet 2026, le CSIRT Italia a envoyé 8 952 communications à des organismes publics et des entreprises en Italie. Elles portaient sur des compromissions potentielles ou des facteurs de risque. Le même mois, il a recensé 188 incidents et 305 événements au total. C'est une donnée opérationnelle, pas une statistique de sanction. Elle dit pourtant une chose utile : statistiquement, votre premier contact avec l'Agence est une communication entrante, pas une inspection.

Informer les destinataires de vos services

L'obligation d'informer les destinataires des services des incidents importants se prouve avec deux objets. Le premier est le modèle de communication approuvé avant l'incident. Le second est le registre des envois, avec la date, le nombre de destinataires et les accusés de réception.

L'approbation par l'organe de direction

C'est le point sur lequel l'ACN a été la plus claire récemment. Le 14 juillet 2026, elle a mis à jour les FAQ sur les obligations des organes d'administration et de direction. L'approbation des documents requis par l'art. 23 du décret NIS italien est la compétence exclusive de l'organe, collégial ou unipersonnel. Cette approbation ne peut pas être déléguée ; l'exécution des activités opérationnelles reste délégable.

Les mêmes FAQ précisent ce qui est soumis à l'organe pour approbation. Les documents soumis doivent définir l'orientation et la planification stratégique des mesures. La documentation technique et opérationnelle peut être produite par les fonctions compétentes sans approbation de l'organe. La documentation peut être un document unique ou un ensemble coordonné. Mettre à jour les documents techniques n'impose pas de réapprouver la partie stratégique.

Traduit en preuve : une délibération datée, qui renvoie à une version identifiée de l'ensemble des mesures. Elle porte le périmètre décrit et la date du prochain réexamen.

Quoi corriger, dans l'ordre

D'abord l'enregistrement et la date de sa dernière mise à jour. Puis la délibération de l'organe, avec version et date. Puis la matrice des mesures, avec la preuve associée. En dernier, la chaîne de notification, prouvée sur un incident réel ou sur un exercice daté.

Si vous exploitez aussi des systèmes d'IA, la même logique documentaire s'applique sous le règlement IA de l'UE : la checklist de conformité au règlement IA UE utilise la même structure de preuves et de responsables.

Questions fréquentes sur les contrôles de l'ACN

Que regarde en premier un contrôle de l'ACN ?

Le dossier documentaire. En général : l'enregistrement sur le portail ACN avec la date de la dernière mise à jour. Puis la délibération de l'organe de direction sur les mesures. Puis l'état de chaque mesure avec la preuve associée, et la traçabilité des notifications d'incidents. Pas un certificat.

L'ACN peut-elle inspecter sans incident ?

Pour les entités essentielles, oui : les FAQ de l'ACN sur le monitoring, la supervision et l'exécution indiquent que les contrôles peuvent être ordonnés ex ante. Pour les entités importantes, l'Agence intervient lorsqu'elle dispose d'éléments de preuve, d'indications ou d'informations. La catégorie découle du secteur, pas d'un choix.

Quels sont les délais de notification d'un incident important ?

La directive prévoit une alerte précoce dans les 24 heures après la prise de connaissance et une notification de l'incident dans les 72 heures. Le rapport final est dû au plus tard un mois après la notification. En Italie, la détermination ACN 379907 du 19 décembre 2025 s'applique depuis le 15 janvier 2026. Elle prévoit une pré-notification dans les 24 heures et une notification complète dans les 72 heures au CSIRT Italia.

Avant quand dois-je achever les mesures de sécurité de base ?

Cela dépend de la date de votre entrée sur la liste. Pour les entités inscrites en 2025, l'ACN indique octobre 2026 pour achever les mesures de base de cybersécurité. L'obligation de notification pour cette cohorte a commencé en janvier 2026. Pour celles qui entrent sur la liste en 2026 : mesures avant le 31 juillet 2027, notifications à partir du 1er janvier 2027.

L'organe de direction peut-il déléguer l'approbation des documents ?

Non. Les FAQ de l'ACN mises à jour le 14 juillet 2026 indiquent que l'approbation des documents requis par l'art. 23 du décret NIS italien est la compétence exclusive de l'organe. Cela vaut pour un organe collégial comme unipersonnel, et ne peut pas être délégué. L'exécution des activités opérationnelles sous-jacentes reste délégable.

Ressources associées

• Logiciel de conformité NIS2 — comment LandingRed couvre les obligations NIS2
• Checklist de conformité au règlement IA UE — la même structure de preuves et de responsables
• Comment surveiller les systèmes d'IA en vertu du règlement IA de l'UE

Cet article est une information, pas un conseil juridique. La qualification de votre organisation, sa catégorie NIS et le caractère important d'un incident doivent être confirmés avec votre conseil juridique. Vérifiez-les sur les sources officielles de l'ACN et d'EUR-Lex.