Art. 37 — Misure di esecuzione

L'Autorita' nazionale competente NIS, ai fini dell'esercizio dei suoi poteri di esecuzione, tiene anche conto degli esiti delle attivita' di monitoraggio, analisi e supporto di cui all'articolo 35 e delle risultanze dell'esercizio dei poteri di verifica e ispettivi di cui all'articolo 36. L'Autorita' nazionale competente NIS, nell'esercizio dei suoi poteri di esecuzione puo' richiedere ai soggetti, dichiarandone la finalita', di fornire i dati che dimostrino l'attuazione di politiche di sicurezza informatica, quali i risultati di audit sulla sicurezza e i relativi elementi di prova, nonche' le informazioni necessarie per lo svolgimento dei propri compiti istituzionali anche ai fini:

• a)della valutazione delle misure di gestione dei rischi per la sicurezza informatica;
• b)del rispetto degli obblighi di trasmissione, comunicazione e notifica di cui al presente decreto. L'Autorita' nazionale competente NIS, nell'esercizio dei suoi poteri di esecuzione, puo' intimare ai soggetti:
• a)di eseguire, su base periodica o mirata, audit sulla sicurezza, in particolare in caso di incidente significativo o di violazione del presente decreto da parte del soggetto. L'Autorita' nazionale competente NIS non puo' prescrivere l'esecuzione periodica di audit di sicurezza ai soggetti importanti;
• b)di eseguire scansioni di sicurezza basate su criteri di valutazione dei rischi obiettivi, non discriminatori, equi e trasparenti, se necessario in cooperazione con la medesima Autorita';
• c)di attuare le raccomandazioni fornite in seguito a un audit sulla sicurezza;
• d)di adempiere agli obblighi di cui al presente decreto;
• e)di porre termine al comportamento che viola il presente decreto e di astenersi dal ripeterlo;
• f)di attuare le istruzioni vincolanti impartite dalla medesima Autorita' o di porre rimedio alle carenze individuate nell'adempimento degli obblighi di cui al presente decreto o alle conseguenze che derivano da violazioni del presente decreto;
• g)ai fini dell'articolo 25, comma 9, di comunicare senza ingiustificato ritardo ai destinatari dei loro servizi gli incidenti significativi che possono ripercuotersi negativamente sulla fornitura di tali servizi;
• h)ai fini dell'articolo 25, comma 10, di comunicare senza ingiustificato ritardo ai destinatari dei loro servizi che sono potenzialmente interessati da una minaccia informatica significativa, qualsiasi misura o azione correttiva che tali destinatari possono adottare in risposta a tale minaccia, nonche', se opportuno, la minaccia informatica significativa stessa;
• i)ai fini dell'articolo 25, comma 11, di informare il pubblico sugli incidenti occorsi;
• l)di rendere pubbliche le violazioni di cui al presente decreto. L'Agenzia per la cybersicurezza nazionale, nell'esercizio dei suoi poteri di esecuzione quale Autorita' nazionale competente NIS, puo' intimare l'osservanza di istruzioni vincolanti per evitare il verificarsi di un incidente o per porvi rimedio. L'Autorita' nazionale competente NIS puo' designare un proprio funzionario per supportare il soggetto interessato ai fini dell'adempimento degli obblighi di cui al presente decreto, con compiti ben definiti nell'arco di un periodo di tempo determinato, anche tramite visite in loco e a distanza. Il soggetto interessato assicura la piena collaborazione con il funzionario designato. Qualora il soggetto interessato non adempia alle disposizioni di cui ai commi 2, 3, 4 e 5, secondo periodo, l'Autorita' nazionale competente NIS diffida il soggetto ad adempiere a tali disposizioni. Ai fini dei commi 2, 3, 4 e 6, l'Autorita' nazionale competente NIS indica modalita' e termini ragionevoli e proporzionati per adempiere nonche' per riferire circa lo stato di attuazione degli adempimenti. Prima di adottare provvedimenti di cui ai commi 3 e 6, l'Autorita' nazionale competente NIS notifica ai soggetti interessati le conclusioni preliminari, concedendo a questi ultimi un termine ragionevole, comunque non inferiore a quindici giorni, per presentare osservazioni. Il comma 8 non trova applicazione nei casi in cui la notifica delle conclusioni preliminari non consenta azioni immediate per prevenire un incidente o rispondervi. In tali casi l'Autorita' nazionale competente NIS motiva l'omissione della notifica di cui al comma 8. Nei casi di adozione da parte dell'Autorita' nazionale competente NIS di piu' provvedimenti successivi riconducibili alla medesima fattispecie, il comma 8 si applica esclusivamente al primo di questi provvedimenti.