Per utilizzare questa funzionalità di condivisione sui social network è necessario accettare i cookie della categoria 'Marketing'.
NIS2 2027: le nuove procedure ACN e tutte le scadenze da rispettare
Con la Determinazione n. 314287 del 20 ottobre 2026, l’Agenzia per la Cybersicurezza Nazionale (ACN) aggiorna le modalità operative per la gestione degli adempimenti previsti dalla normativa NIS2. Le nuove disposizioni si applicano dal 25 ottobre 2026 e sostituiscono quelle contenute nella Determinazione n. 127437 del 13 aprile 2026.
Il provvedimento disciplina le procedure di registrazione, la designazione dei referenti, l’aggiornamento delle informazioni e la categorizzazione delle attività e dei servizi. Di seguito le principali novità e le scadenze da tenere presenti per il 2027.
Registrazione e dichiarazione annuale
La registrazione sulla piattaforma ACN deve essere effettuata ogni anno dal 1° gennaio al 28 febbraio. Gli aggiornamenti riguardano i dati relativi al soggetto, ai rapporti societari, ai codici ATECO, alla normativa settoriale europea applicabile e alla classe dimensionale, individuata secondo la Raccomandazione 2003/361/CE (micro, piccola, media o grande impresa).
I soggetti già presenti nell’elenco non devono presentare una nuova dichiarazione se non sono intervenute variazioni rispetto alla precedente dichiarazione annuale o alle successive integrazioni: in questo caso mantengono la posizione e lo status già attribuiti e ricevono una comunicazione ricognitiva da ACN.
La piattaforma effettua una valutazione preliminare automatizzata dei dati, che il soggetto è chiamato a confermare o motivatamente rettificare. Il punto di contatto conferma quindi la dichiarazione ai sensi del DPR 445/2000 e la trasmette; una copia viene inviata al domicilio digitale.
In caso di incoerenze, la piattaforma segnala le anomalie. Di norma è sufficiente indicare la classe dimensionale; in presenza di incongruenze possono essere richiesti anche i valori puntuali relativi a dipendenti, fatturato e bilancio. Le pubbliche amministrazioni possono omettere i dati economici.
Le dichiarazioni presentate oltre il termine sono considerate tardive, salvo comprovati problemi tecnici o operativi non imputabili al soggetto. Quelle trasmesse entro il 1° settembre sono comunque prese in carico per l’anno di riferimento. Trascorsi dieci giorni solari dalla presentazione, la dichiarazione è definitivamente acquisita e non può più essere modificata; tale regola non si applica alle dichiarazioni tardive.
La Determinazione disciplina inoltre le operazioni straordinarie: in caso di fusione, anche per incorporazione, che coinvolga almeno un soggetto NIS, il soggetto risultante deve registrarsi e le entità partecipanti devono comunicargliene i dati identificativi. In caso di cessione di una o più unità aziendali collegate alle attività che hanno determinato l’assoggettamento alla disciplina NIS, il cedente comunica i dati identificativi dell’acquirente.
Pubblicità
Punto di contatto, sostituto e referente CSIRT
Il punto di contatto è la persona fisica incaricata di gestire gli adempimenti NIS. Può essere il legale rappresentante, un procuratore generale iscritto al Registro delle imprese oppure un dipendente delegato. Per gruppi e pubbliche amministrazioni sono previste specifiche modalità di individuazione. Il referente deve riportare direttamente ai vertici gerarchici e agli organi di gestione e direzione.
È prevista anche la designazione di un sostituto del punto di contatto, persona distinta dal titolare, che può svolgere le medesime operazioni, fatta eccezione per la registrazione. La nomina deve avvenire entro il 31 maggio dell’anno di inserimento del soggetto nell’elenco, salvo il caso in cui nell’organizzazione operi una sola persona fisica.
I soggetti interessati devono inoltre designare il referente CSIRT tramite la piattaforma entro il 31 dicembre dell’anno di inserimento nell’elenco. Possono essere nominati anche sostituti. Il referente deve possedere competenze di base in materia di cybersicurezza e gestione degli incidenti, oltre a una conoscenza approfondita dei sistemi e delle reti. Per i soggetti finanziari rientranti nel DORA gli obblighi dell’articolo 7 non si applicano, salvo adesione volontaria.
La Determinazione disciplina anche il rappresentante NIS in Italia per le categorie di soggetti individuate dal provvedimento: la documentazione deve essere trasmessa o aggiornata ogni anno dal 1° settembre al 30 novembre. ACN risponde entro 30 giorni e può richiedere integrazioni, da fornire entro 10 giorni.
Accesso alla piattaforma e censimento degli utenti
L’accesso alla piattaforma avviene tramite CIE, SPID, CNS o eIDAS. Nei casi in cui l’utente sia legalmente impossibilitato a utilizzare tali strumenti, possono essere rilasciate credenziali personali secondo le procedure ACN.
La procedura prevede anche il censimento degli utenti e la loro associazione al soggetto NIS di riferimento.
Aggiornamento annuale delle informazioni
Dal 15 aprile al 31 maggio di ogni anno i soggetti devono aggiornare le informazioni previste dall’articolo 16. Tra queste rientrano:
dati identificativi e di contatto del soggetto;
punto di contatto, sostituto e segreteria;
componenti degli organi di amministrazione e direzione;
servizi prestati nell’Unione europea e negli Stati interessati;
spazio di indirizzamento IP pubblico e nomi a dominio utilizzati o disponibili;
accordi di condivisione delle informazioni;
referente CSIRT e relativi sostituti;
fornitori rilevanti e informazioni già comunicate ai fini della registrazione.
Per alcune categorie sono richiesti anche dati relativi alle sedi nell’Unione europea e al rappresentante NIS. L’indicazione della struttura organizzativa è facoltativa. Le informazioni già disponibili vengono precompilate sulla base dei dati acquisiti entro il 14 aprile; il punto di contatto ne conferma la correttezza ai sensi del DPR 445/2000. I soggetti inseriti nell’elenco in un momento successivo dispongono di 30 giorni dalla comunicazione di inclusione per completare l’aggiornamento.
È inoltre previsto il censimento dei codici fiscali e degli indirizzi PEC delle persone fisiche che fanno parte degli organi di amministrazione e direzione. Le persone interessate devono accettare l’indicazione tramite la procedura disponibile sul portale. Anche in questo caso, i soggetti finanziari DORA sono esentati, salvo adesione volontaria.
Fornitori rilevanti e aggiornamento continuo
Per i fornitori rilevanti devono essere comunicati denominazione, codice fiscale, Paese della sede legale, codici CPV e criterio di rilevanza. La categoria comprende i fornitori ICT e quelli di beni o servizi non fungibili la cui interruzione o compromissione può incidere significativamente sull’erogazione dei servizi o sullo svolgimento delle attività del soggetto NIS.
Accanto all’aggiornamento annuale, è previsto un servizio di aggiornamento continuo: le variazioni delle informazioni comunicate ai sensi dell’articolo 16 devono essere trasmesse tempestivamente e comunque entro 14 giorni dalla modifica. Il servizio può essere utilizzato fino al 14 aprile dell’anno successivo a quello della comunicazione di inclusione o permanenza nell’elenco.
Categorizzazione di attività e servizi
Dal 1° maggio al 30 giugno di ogni anno i soggetti devono trasmettere o aggiornare l’elenco delle attività e dei servizi, utilizzando il servizio “NIS/Categorizzazione”.
La categorizzazione deve seguire il modello e i criteri definiti da ACN con separata determinazione, ai sensi dell’articolo 40, comma 5, lettera i), del D.Lgs. 138/2024. Alla scadenza, l’elenco diventa definitivo e non può essere modificato. Le trasmissioni tardive sono ammesse soltanto nei casi di comprovati problemi tecnici o operativi non imputabili al soggetto. Anche per questo adempimento è prevista l’esenzione dei soggetti finanziari DORA, salvo adesione volontaria.
ACN effettua controlli a campione sulla conformità degli elenchi al modello e ai criteri applicabili, anche attraverso il confronto con soggetti NIS che svolgono attività analoghe. Per approfondire gli aspetti tecnici della sicurezza informatica e dell'implementazione NIS2, è disponibile anche una guida.
In prima applicazione, fino al 31 dicembre 2027, l’Agenzia comunica l’esito entro 150 giorni dalla trasmissione. Eventuali richieste di informazioni, modifiche o integrazioni devono essere soddisfatte entro 30 giorni; durante questo periodo i termini per ACN sono sospesi.
L’esito, positivo o negativo, viene comunicato al domicilio digitale. In assenza di un esito positivo entro i termini applicabili, l’elenco si considera validato. Un esito negativo, tuttavia, non esonera il soggetto dall’obbligo di categorizzazione.
Verifiche ACN e aggiornamento dell’elenco NIS
ACN può effettuare d’ufficio verifiche di coerenza sui dati dichiarati, anche mediante controlli automatizzati e a campione. Può richiedere informazioni, modifiche o integrazioni, da fornire entro 10 giorni. In caso di mancata risposta, l’Agenzia procede sulla base degli elementi disponibili e può modificare lo status NIS del soggetto.
Entro il 31 marzo di ogni anno ACN aggiorna l’elenco relativo all’anno precedente, recependo nuovi inserimenti, variazioni di status e cancellazioni. Ai soggetti inseriti per la prima volta viene attribuito un identificativo univoco.
Il soggetto può chiedere la revisione della propria posizione entro 60 giorni dalla comunicazione. ACN risponde entro 60 giorni, termine prorogabile una volta per ulteriori 30 giorni; eventuali integrazioni richieste devono essere trasmesse entro 10 giorni. Il procedimento contribuisce al consolidamento dell’elenco entro il 31 dicembre.
Le principali scadenze per il 2027
| Periodo o termine | Adempimento | Riferimento |
|---|---|---|
| 1° gennaio – 28 febbraio | Registrazione e dichiarazione annuale, salvo i casi di esonero per assenza di variazioni | Art. 11 |
| Entro 31 marzo | Aggiornamento dell’elenco NIS relativo all’anno precedente | Art. 15 |
| Entro 31 maggio | Designazione del sostituto del punto di contatto per i soggetti inseriti nel 2027 | Art. 5 |
| 15 aprile – 31 maggio | Aggiornamento annuale delle informazioni | Art. 16 |
| 1° maggio – 30 giugno | Trasmissione o aggiornamento dell’elenco delle attività e dei servizi categorizzati | Art. 20 |
| Entro 31 dicembre | Designazione del referente CSIRT per i soggetti inseriti nel 2027 e consolidamento dell’elenco | Artt. 7 e 15 |
La Determinazione n. 314287/2026 definisce quindi un calendario articolato di adempimenti, distinguendo la registrazione annuale dall’aggiornamento delle informazioni e dalla categorizzazione di attività e servizi. Per i soggetti NIS sarà importante rispettare le diverse finestre temporali e mantenere aggiornati i dati comunicati ad ACN anche in caso di variazioni intervenute nel corso dell’anno.
ACN - Determinazione n. 314287 del 23 ottobre 2026 - Determinazione del Direttore generale dell’Agenzia per la cybersicurezza nazionale di cui all’articolo 7, comma 6, del decreto legislativo 4 settembre 2024, n. 138, adottata secondo le modalità di cui all’articolo 40, comma 5, recante termini, modalità e procedimenti di utilizzo e accesso alla piattaforma digitale nonché ulteriori informazioni che i soggetti devono fornire all’Autorità nazionale competente NIS e termini, modalità e procedimento di designazione dei rappresentanti NIS sul territorio nazionale.
RXY
Licenza Creative CommonsI contenuti presenti sul sito PuntoSicuro non possono essere utilizzati al fine di addestrare sistemi di intelligenza artificiale.
Per visualizzare questo banner informativo è necessario accettare i cookie della categoria 'Marketing'
Pubblica un commento
Ad oggi, nessun commento è ancora stato inserito.Banca Dati di PuntoSicuro
