La registrazione sulla piattaforma NIS dell'Agenzia per la cybersicurezza nazionale è l'adempimento più semplice della NIS2 e, allo stesso tempo, quello con la sanzione più facile da prendere. Non è un modulo da compilare una volta e dimenticare: è un ciclo annuale, con finestre precise, una dichiarazione che diventa definitiva e un obbligo di aggiornamento continuo. Vediamolo nell'ordine in cui lo si incontra.
L'art. 7 del D.Lgs. 138/2024 stabilisce che dal 1° gennaio al 28 febbraio di ogni anno i soggetti che rientrano nell'ambito di applicazione del decreto si registrano o aggiornano la propria registrazione sulla piattaforma digitale resa disponibile dall'Autorità nazionale competente NIS. Vale anche per chi era già registrato l'anno prima: la dichiarazione va rifatta o riconfermata ogni anno. Se non siete sicuri di rientrare, la valutazione preliminare è descritta nella guida sull'ambito di applicazione: il decreto prevede un'autovalutazione, quindi la responsabilità della verifica iniziale è dell'azienda.
Tre cose, e conviene procurarsele con calma prima che si apra la finestra:
Le informazioni minime richieste dalla norma sono: ragione sociale; indirizzo e recapiti aggiornati, compresi e-mail e numeri di telefono; la designazione del punto di contatto con il ruolo ricoperto presso il soggetto e i recapiti aggiornati; e, ove applicabile, i pertinenti settori, sottosettori e tipologie di soggetto degli allegati I, II, III e IV.
Il calendario prosegue senza che l'azienda debba fare nulla, fino alla primavera:
| Quando | Cosa accade | Riferimento |
|---|---|---|
| 1° gennaio – 28 febbraio | Registrazione o aggiornamento della registrazione con la dichiarazione NIS | art. 7, comma 1 |
| entro il 31 marzo | L'Autorità redige l'elenco dei soggetti essenziali e dei soggetti importanti | art. 7, comma 2 |
| dopo l'elenco | Comunicazione, tramite la piattaforma, di inserimento, permanenza o espunzione dall'elenco | art. 7, comma 3 |
| 15 aprile – 31 maggio | Seconda finestra: i soggetti inseriti o confermati forniscono o aggiornano le informazioni ulteriori | art. 7, comma 4 |
| entro 14 giorni da ogni variazione | Notifica di qualsiasi modifica delle informazioni trasmesse | art. 7, comma 7 |
Nella seconda finestra si va sul tecnico: spazio di indirizzamento IP pubblico e nomi di dominio in uso o nella disponibilità del soggetto; l'elenco degli Stati membri in cui si forniscono servizi che rientrano nell'ambito del decreto; i responsabili indicati dalla norma con ruolo e recapiti; e un sostituto del punto di contatto. Alcune categorie di operatori digitali (servizi DNS, registri di nomi di dominio, cloud, data center, reti di distribuzione dei contenuti, servizi gestiti e di sicurezza gestiti, mercati online, motori di ricerca, piattaforme di social network) devono indicare anche l'indirizzo della sede principale e delle altre sedi nell'Unione europea, o quello del rappresentante designato se non stabiliti nell'UE.
Accanto al punto di contatto c'è la figura del referente CSIRT, che l'ACN ha introdotto con i propri provvedimenti attuativi: è la persona che tiene i rapporti con il CSIRT Italia per le notifiche di incidente, e si designa dalla sezione di aggiornamento dati del Portale dei servizi. Per i soggetti inseriti nell'elenco per la prima volta nel 2026, la Determinazione ACN n. 127434/2026 ha fissato un percorso graduale: designazione del referente CSIRT entro la fine del 2026, obblighi di notifica a partire dal 1° gennaio 2027 e misure di sicurezza di base entro il 31 luglio 2027. Il quadro completo delle date è nella guida alle scadenze 2026.
Sì. La stessa piattaforma è il canale attraverso cui, negli anni successivi, passano gli altri adempimenti: la comunicazione dell'elenco dei fornitori rilevanti introdotta dalla Determinazione ACN n. 127437/2026 in attuazione dell'art. 18, e l'elencazione e categorizzazione delle attività e dei servizi prevista dalla Determinazione ACN n. 155238/2026 in attuazione dell'art. 30, con la sua finestra annuale dal 1° maggio al 30 giugno. Il decreto stesso prevede che le comunicazioni e le interazioni con l'Autorità avvengano in via prioritaria tramite la piattaforma: quindi è lì che bisogna guardare, non nella posta ordinaria.
La mancata registrazione, comunicazione o aggiornamento delle informazioni previste dall'art. 7 e l'inosservanza delle modalità stabilite dall'Autorità sono punite con sanzioni amministrative pecuniarie fino allo 0,1% del fatturato annuo su scala mondiale per i soggetti essenziali e fino allo 0,07% per i soggetti importanti (per le pubbliche amministrazioni gli importi sono fissi). E c'è l'aggravante: in caso di mancata o tardiva registrazione vengono comunque contestate tutte le violazioni previste dall'articolo sulle sanzioni, con applicazione della sanzione per la violazione più grave aumentata fino al triplo. Il dettaglio è nella guida alle sanzioni.
Fonti normative: D.Lgs. 4 settembre 2024, n. 138, artt. 7, 30, 34 e 38 (Gazzetta Ufficiale n. 230 del 1° ottobre 2024) · Determinazione ACN n. 379887/2025 (Portale ACN e Servizi NIS) · Determinazione ACN n. 127434/2026 (termini per i soggetti individuati nel 2026) · Determinazione ACN n. 127437/2026 (fornitori rilevanti) · Determinazione ACN n. 155238/2026 (elencazione e categorizzazione di attività e servizi) · acn.gov.it, sezione NIS – Registrazione. Le schermate e i passaggi del portale possono cambiare: fa fede quanto pubblicato dall'ACN. Non è consulenza legale.