Registrazione NIS2 sulla piattaforma ACN e punto di contatto
Chi rientra nella NIS2 si dichiara all'ACN ogni anno. Chi lo fa, quali dati servono e gli altri appuntamenti della piattaforma, passo per passo.
Chi rientra nella NIS2 deve farsi conoscere dall'ACN: è il primo obbligo e la base di tutti gli altri. Non è una formalità. Se non vi registrate restate comunque obbligati, e la sanzione per la mancata registrazione si somma a tutte le altre violazioni.
La registrazione si fa sul Portale dei servizi ACN (portale.acn.gov.it), ogni anno nella stessa finestra. Ecco chi la fa, cosa serve e quali altri appuntamenti ci sono sulla piattaforma durante l'anno.
Chi deve registrarsi
Tutti i soggetti che rientrano nell'ambito del decreto (art. 7, c. 1): se avete verificato con la guida a chi si applica di essere dentro, dovete registrarvi voi, senza aspettare un invito dell'ACN. Si registra ogni persona giuridica: in un gruppo, ogni società che rientra lo fa per conto suo.
Chi invece è stato individuato direttamente dall'ACN con una PEC ha 30 giorni dalla notifica per registrarsi; se la notifica arriva dopo il 31 luglio, si registra nella finestra successiva (det. 314287/2026, art. 13).
Prima di tutto: il punto di contatto
La registrazione la fa il punto di contatto, la persona che rappresenta l'organizzazione verso l'ACN (art. 7, c. 1, lett. c; det. 314287/2026, art. 4). Può essere:
- il rappresentante legale;
- un procuratore generale iscritto al registro delle imprese;
- un dipendente delegato dal rappresentante legale, anche di un'altra impresa del gruppo che è soggetto NIS.
Il punto di contatto riferisce al vertice e all'organo di amministrazione. Nominarlo non sposta la responsabilità, che resta agli amministratori. Accede al portale con SPID, CIE, CNS o eIDAS, associa l'organizzazione con il codice fiscale (le PA con il codice IPA) e convalida l'associazione con il link che arriva alla PEC dell'organizzazione.
Servono poi altre due figure:
- il sostituto del punto di contatto, una persona diversa che può fare tutto tranne la registrazione. Va nominato entro il 31 maggio dell'anno in cui entrate nell'elenco; se il punto di contatto è l'unica persona dell'organizzazione, l'obbligo non si applica (det. 314287/2026, art. 5);
- il referente CSIRT, con uno o più sostituti: è chi parla con il CSIRT Italia e invia le notifiche di incidente. Lo designa il punto di contatto entro il 31 dicembre dell'anno di ingresso nell'elenco (det. 314287/2026, art. 7). Può essere anche una persona esterna, per esempio del fornitore IT (FAQ ACN RCS.3).
La dichiarazione: cosa serve
La finestra va dal 1° gennaio al 28 febbraio di ogni anno. La legge chiede almeno ragione sociale, indirizzo e recapiti, i dati del punto di contatto e i settori, sottosettori e tipologie in cui operate (art. 7, c. 1). La piattaforma chiede anche (det. 314287/2026, art. 11):
- se fate parte di un gruppo, con la capogruppo e le imprese collegate;
- le imprese collegate che vi gestiscono sicurezza o sistemi (art. 3, c. 10) e, se serve, la richiesta di clausola di salvaguardia;
- i codici ATECO e le normative di settore che vi riguardano;
- la dimensione (micro, piccola, media o grande), con dipendenti, fatturato e bilancio quando i dati non tornano.
La piattaforma propone una valutazione automatica dello status, che potete confermare o contestare spiegando perché. Dopo l'invio arriva una copia via PEC: conservatela, perché dopo 10 giorni la dichiarazione non si può più modificare. Chi è già nell'elenco ripresenta la dichiarazione solo se qualcosa è cambiato.
Le dichiarazioni tardive inviate entro il 1° settembre sono trattate nell'anno, ma il ritardo resta una violazione.
Dopo la registrazione: l'elenco e la PEC di aprile
Entro il 31 marzo l'ACN redige l'elenco dei soggetti essenziali e importanti (art. 7, c. 2) ed entro il 14 aprile comunica via PEC a chi si è registrato l'inserimento, la permanenza o l'uscita dall'elenco. Se non siete d'accordo avete 60 giorni per chiedere la revisione. L'elenco non è pubblico.
Questa PEC è importante: per chi entra nell'elenco da lì partono i termini per notificare gli incidenti e adottare le misure di sicurezza (vedi scadenze 2026-2027). Insieme arriva anche l'esito dell'eventuale clausola di salvaguardia.
Gli appuntamenti durante l'anno
| Quando | Cosa |
|---|---|
| 15 aprile – 31 maggio | Aggiornamento annuale (art. 7, c. 4-5; det. 314287/2026, artt. 16-18): indirizzi IP pubblici e domini, Stati UE in cui operate, componenti degli organi di amministrazione (ciascuno deve accettare l'indicazione sul portale), sostituto del punto di contatto, referente CSIRT, accordi di condivisione di informazioni, fornitori rilevanti |
| 1° maggio – 30 giugno | Categorizzazione (art. 30; det. 155238/2026): elencate attività e servizi nelle 10 macro-aree del modello ACN, ciascuno con un impatto minimo, basso, medio o alto. L'ACN risponde entro 90 giorni (150 fino al 31 dicembre 2027); se non risponde, l'elenco si intende convalidato |
| entro 14 giorni | Ogni modifica dei dati comunicati va aggiornata sul portale (art. 7, c. 7) |
La categorizzazione merita attenzione: serve all'ACN per decidere, in futuro, quali obblighi più forti applicare a ciascun servizio (art. 31). Potete tenere la categoria proposta dal modello oppure cambiarla, ma in quel caso scrivete il perché. Dopo il 30 giugno l'elenco non si modifica più.
Per non perdere gli aggiornamenti di 14 giorni, decidete chi in azienda avvisa il punto di contatto quando cambiano persone, recapiti, indirizzi IP, domini o fornitori.
Cosa succede se non vi registrate
La mancata registrazione, comunicazione o aggiornamento è punita fino allo 0,1% del fatturato mondiale annuo per gli essenziali e fino allo 0,07% per gli importanti (art. 38, c. 10-11). Ma il punto vero è un altro: in caso di mancata o tardiva registrazione l'ACN contesta comunque tutte le altre violazioni (misure, incidenti, obblighi degli amministratori) e applica la sanzione più grave aumentata fino al triplo (art. 38, c. 13). I dettagli, con i dubbi che la legge lascia aperti, sono in le sanzioni.
Passo per passo
- Verificate di essere dentro e con quali tipologie degli allegati.
- Scegliete il punto di contatto e preparate la delega firmata dal rappresentante legale, se serve.
- Raccogliete i dati: gruppo e collegate, codici ATECO, dipendenti, fatturato e bilancio dell'ultimo esercizio.
- Dal 1° gennaio il punto di contatto entra nel portale, associa l'organizzazione e compila la dichiarazione entro il 28 febbraio.
- Conservate le PEC: quella della dichiarazione e quella dell'ACN di aprile.
- Segnate in calendario aggiornamento annuale, categorizzazione, sostituto e referente CSIRT.
La terza tappa di Pilot è dedicata proprio a questo: vi dice cosa preparare, tiene i nomi di punto di contatto, sostituto e referente CSIRT e mette le finestre della piattaforma nello scadenzario. Iniziate il percorso.
Domande frequenti
Pilot vi guida in otto tappe: capite se la NIS2 vi riguarda, preparate registrazione, misure e procedure per gli incidenti, e tenete i documenti in regola con uno scadenzario che vi avvisa prima. Non sostituisce un consulente o un legale: vi fa arrivare preparati.
