ACN stabilisce la finestra di registrazione NIS2 2027 e le scadenze per gli adempimenti

Contesto

Il 18 settembre 2026, l'Agenzia per la cybersicurezza nazionale (ACN) ha pubblicato le novità per i soggetti NIS, una settimana dopo il Vademecum NIS. Dalla riunione plenaria del Tavolo di attuazione sono emersi l'aggiornamento dell'elenco dei soggetti NIS, l'avvio della consultazione sulle misure di sicurezza rafforzate e la nuova finestra di registrazione. Questa finestra si apre il 1° gennaio 2027 e si chiude il 28 febbraio. La prima scadenza indicata da ACN è nel mese di ottobre, per l'attuazione delle misure di sicurezza di base da parte dei soggetti inseriti nell'elenco nel 2025.
L'obbligo di registrazione nasce dall'articolo 7, comma 1, del decreto legislativo 4 settembre 2024, n. 138. Dal 1° gennaio al 28 febbraio di ogni anno, i soggetti nel campo di applicazione devono registrarsi o aggiornare la propria registrazione sulla piattaforma digitale di ACN. L'aggiornamento annuale è richiesto anche a chi è già in elenco. Le informazioni minime richieste sono ragione sociale, indirizzo e recapiti aggiornati, designazione di un punto di contatto con ruolo e recapiti, e i pertinenti settori, sottosettori e tipologie di soggetto degli allegati I, II, III e IV, ove applicabile. Modalità, termini e procedimenti sono stabiliti dalla Determinazione ACN 127437/2026, applicabile dal 15 aprile 2026, che aggiorna la precedente Determinazione 379887/2025. Il capo V, su elencazione e categorizzazione, si applica dal 1° maggio 2026. ACN può individuare ulteriori soggetti critici, che riceveranno comunicazione diretta per procedere alla registrazione.
La registrazione è divisa in tre fasi: censimento del punto di contatto, associazione al soggetto e compilazione della dichiarazione NIS. Il punto di contatto deve essere designato prima di avviare la procedura, ai sensi dell'articolo 7, comma 1, lettera c) del decreto. L'articolo 4, comma 2 della Determinazione 127437/2026 indica tre possibilità: il rappresentante legale, uno dei procuratori generali censiti sul registro delle imprese, o un dipendente delegato dal rappresentante legale. Per i gruppi di imprese e le pubbliche amministrazioni, i commi 3 e 4 ammettono un dipendente di un'altra impresa del gruppo o di un'altra amministrazione, sempre su delega e a specifiche condizioni. Solo per il dipendente delegato è necessario caricare sul Portale il titolo giuridico che abilita a operare per conto del soggetto. Il punto di contatto si autentica con SPID o CIE e indica il codice IPA (per PA) o il codice fiscale (per altri casi). Il processo si conclude con l'invio di un link di convalida al domicilio digitale del soggetto.
La dichiarazione si compone di quattro sezioni: contesto, caratterizzazione, tipologie di soggetto e autovalutazione. Richiede, tra le altre cose, i codici ATECO, le normative settoriali europee applicabili, i valori di fatturato, bilancio e dipendenti, e l'eventuale appartenenza a un gruppo di imprese. Una copia viene inviata al domicilio digitale. L'articolo 11, comma 9 della determinazione stabilisce che la dichiarazione si intende acquisita e non modificabile dopo dieci giorni solari dalla sottomissione. Tuttavia, il comma 8 considera tardiva ogni dichiarazione sottomessa o modificata oltre il 28 febbraio. Questo significa che chi trasmette il 27 febbraio ha solo un giorno per correggere. La clausola di salvaguardia dell'articolo 3, comma 12 del decreto, che permette di contestare un calcolo dimensionale sproporzionato, si può esercitare durante la registrazione. La preparazione del titolo giuridico (delega) per il punto di contatto, quando necessario, è un passaggio che richiede tempo e non può essere improvvisato a ridosso della scadenza del 28 febbraio. Sono quattro gli atti formali con scadenze diverse, nessuno dipendente da ACN, tra cui la delega al punto di contatto, da produrre prima di gennaio, e il sostituto del punto di contatto, previsto dall'articolo 7, comma 4, lettera d) del decreto e dall'articolo 5, comma 3 della Determinazione.

Perché conta

La registrazione annuale NIS2 è obbligatoria e ha una scadenza stretta tra il 1° gennaio e il 28 febbraio 2027 per tutti i soggetti nel campo di applicazione, anche quelli già registrati. Non produrre o aggiornare il titolo giuridico per il punto di contatto in tempo può impedire il completamento della procedura. È importante preparare la delega del punto di contatto prima dell'apertura della finestra di registrazione, in quanto è un processo che richiede tempo e passaggi formali. La tua organizzazione ha già identificato e delegato il punto di contatto con l'atto formale richiesto, in linea con le nuove disposizioni di ACN?

Cosa fare

• Designare formalmente il punto di contatto, con i relativi recapiti, prima dell'apertura della finestra di registrazione 2027.
• Ottenere e caricare il titolo giuridico (delega) per il punto di contatto, se non è il rappresentante legale o un procuratore generale, considerando i tempi necessari per questa procedura.
• Raccogliere in anticipo tutte le informazioni aziendali richieste per la dichiarazione NIS, come codici ATECO, fatturato, bilancio, dipendenti e normative settoriali applicabili.
• Sottomessa la dichiarazione, esaminare attentamente il contenuto entro i dieci giorni solari previsti, prestando massima attenzione al termine ultimo del 28 febbraio per eventuali modifiche.
• Valutare l'opportunità di esercitare la clausola di salvaguardia (articolo 3, comma 12 del decreto) durante la fase di registrazione, se il calcolo dimensionale appare sproporzionato.

Cosa evitare

• Confondere la finestra di registrazione con un obbligo limitato solo ai nuovi soggetti NIS, trascurando l'aggiornamento annuale richiesto anche a chi è già in elenco.
• Sottovalutare i tempi per la produzione della delega del punto di contatto, attendendo a ridosso della scadenza del 28 febbraio, dato che non è un atto improvvisabile.
• Ignorare la scadenza del 28 febbraio per le modifiche alla dichiarazione, anche se non sono trascorsi i dieci giorni dalla sottomissione, poiché la correzione oltre tale data è considerata tardiva.

Implicazioni pratiche

Le organizzazioni soggette alla NIS2 devono adottare un approccio proattivo alla conformità, pianificando con largo anticipo la preparazione di tutti gli adempimenti per evitare sanzioni. Questo significa garantire la corretta designazione e formalizzazione del punto di contatto, la raccolta precisa dei dati richiesti e il rispetto rigoroso delle scadenze definite da ACN. La gestione del processo di registrazione richiede un coordinamento interno efficace tra diverse funzioni aziendali, come l'ufficio legale, la direzione e i responsabili IT, per assicurare che tutti gli atti formali siano pronti e validi prima dell'apertura della finestra.

Azioni da fare

• Identificare in modo chiaro chi, all'interno o all'esterno dell'organizzazione, deve ricoprire il ruolo di punto di contatto con ACN.
• Preparare e formalizzare la delega necessaria per il punto di contatto, se non è il rappresentante legale o un procuratore generale, coinvolgendo gli uffici competenti.
• Verificare e raccogliere tutti i dati aziendali e i riferimenti normativi (es. codici ATECO, dati economici, normative settoriali) richiesti per la compilazione della dichiarazione NIS.
• Stabilire una procedura interna per la compilazione, la revisione e la sottomissione della dichiarazione NIS, con scadenze interne che precedano quella di ACN.

Errori da evitare

• Ritardare la designazione del punto di contatto e la preparazione della delega, rischiando di non avere l'atto formale pronto per la registrazione.
• Non considerare la registrazione NIS2 come un obbligo annuale di aggiornamento, credendo che sia sufficiente una sola registrazione iniziale.
• Inviare la dichiarazione NIS senza una revisione approfondita, poiché le possibilità di correzione sono limitate dalla doppia scadenza di dieci giorni e del 28 febbraio.

Domande di self-assessment

• Il nostro punto di contatto ACN è già stato designato formalmente, e abbiamo il titolo giuridico valido pronto per il caricamento sulla piattaforma?
• Abbiamo già raccolto e verificato tutte le informazioni aziendali richieste (codici ATECO, fatturato, bilancio, dipendenti, normative settoriali) per la dichiarazione NIS?
• Il nostro piano di conformità include l'aggiornamento annuale della registrazione NIS2 con la scadenza tra il 1° gennaio e il 28 febbraio, e abbiamo previsto un margine di tempo per eventuali correzioni?

Riferimenti

Normativa nazionale: Decreto legislativo 4 settembre 2024, n. 138 art. 7, comma 1 · Decreto legislativo 4 settembre 2024, n. 138 art. 3, comma 12 · Decreto legislativo 4 settembre 2024, n. 138 art. 7, comma 4, lettera d) · Decreto legislativo 165/2001 art. 53 · Determinazione ACN 127437/2026 · Determinazione ACN 127437/2026 art. 4, comma 2 · Determinazione ACN 127437/2026 art. 5, comma 3 · Determinazione ACN 127437/2026 art. 11, comma 8 · Determinazione ACN 127437/2026 art. 11, comma 9