Cosa fare dopo la registrazione sul portale ACN

Completare la registrazione sul portale ACN NIS2 non è la fine del percorso, è l’inizio. Chi ha iscritto la propria azienda sulla piattaforma dell’Agenzia per la Cybersicurezza Nazionale ha fatto il primo adempimento formale, ma è il momento in cui il lavoro sostanziale comincia davvero. Questa guida è pensata per chi si trova esattamente lì, registrazione fatta e la domanda “e adesso cosa faccio” ancora senza risposta. Non è una guida a come iscriversi, per quella serve un altro tipo di contenuto. Qui ricostruiamo cosa arriva da ACN dopo l’iscrizione, quali ruoli vanno nominati, quali misure di sicurezza adottare e con quali tempi, e come funziona in pratica la notifica di un incidente.

Cosa significa avere completato la registrazione

La registrazione sulla piattaforma NIS di ACN è un atto di autoidentificazione. È l’azienda che, riconoscendosi nei criteri del D.Lgs 138/2024, si manifesta all’Autorità dichiarando settore, dimensione e autovalutazione come soggetto essenziale, importante o fuori ambito. Fino a quel punto l’iniziativa è tutta del soggetto.

Con l’iscrizione la relazione si inverte. Da quel momento è ACN a muovere il passo successivo, perché deve consolidare l’elenco nazionale dei soggetti NIS e comunicare a ciascuno la propria posizione. Chi si è registrato ha quindi terminato la parte dichiarativa e attende la risposta dell’Autorità, che è l’evento da cui dipende tutto il resto. Per il quadro d’insieme della normativa, di chi è obbligato e perché, il riferimento resta la guida completa alla Direttiva NIS2.

Cosa comunica ACN dopo l’iscrizione

Il documento che conta, e che molte aziende aspettano senza sapere che nome abbia, è la comunicazione di inserimento nell’elenco dei soggetti NIS. Con questa comunicazione ACN conferma che il soggetto rientra nel perimetro e ne indica la categorizzazione definitiva, essenziale oppure importante. L’autovalutazione fatta in fase di registrazione era una proposta, questa è la classificazione ufficiale su cui si misurano gli obblighi.

Anche i tempi sono scanditi. Ogni anno ACN consolida l’elenco dei soggetti NIS entro il 31 marzo, e nel mese di aprile notifica al domicilio digitale del soggetto l’esito, cioè se rientra o meno e in quale categoria. Chi si è registrato nella finestra di inizio anno riceve quindi la risposta nella primavera successiva, e da lì in avanti il calendario degli adempimenti smette di essere astratto e diventa una serie di date concrete.

La comunicazione di inserimento non è un semplice avviso, è il punto zero del cronometro. Tutti i termini di adempimento, quelli per le misure di sicurezza e quelli per la notifica degli incidenti, decorrono dalla data in cui il soggetto la riceve. Riceverla in un anno o in quello successivo cambia le scadenze, come vedremo, quindi la data va registrata e conservata con cura. Se la categorizzazione ricevuta non coincide con l’autovalutazione dichiarata, è il momento di capire perché, poiché essere classificati essenziali invece che importanti comporta misure più estese e un regime di controllo più severo, argomenti che abbiamo trattato nella guida su a chi si applica la NIS2.

Il Punto di contatto e il referente CSIRT

Un soggetto registrato deve presidiare l’interlocuzione con l’Autorità attraverso ruoli definiti, e qui si concentra un equivoco diffuso sulla responsabilità. Il primo ruolo è il punto di contatto, che può essere il rappresentante legale, un suo procuratore generale censito nel registro delle imprese oppure un dipendente delegato. Il punto di contatto cura l’attuazione degli adempimenti e riferisce al vertice gerarchico e agli organi di amministrazione e direzione del soggetto.

La parola cura non è casuale. Il punto di contatto non porta la responsabilità delle violazioni, che l’articolo 23 del decreto colloca sui vertici aziendali, cioè sui componenti del consiglio di amministrazione e sugli organi assimilabili. Nominare un punto di contatto operativo non solleva quindi l’amministratore dalla propria esposizione personale, un fraintendimento da chiarire prima che si traduca in una delega mal riposta. A supporto del punto di contatto può essere designato un sostituto, che ne condivide le funzioni e può a sua volta interloquire con l’Autorità.

Per la gestione degli incidenti esiste un ruolo dedicato, il referente CSIRT. Viene designato dal punto di contatto attraverso la funzionalità di aggiornamento dati del portale dei servizi ACN, e ha il compito di interloquire con il CSIRT Italia e di effettuare le notifiche obbligatorie degli incidenti significativi, oltre alle eventuali notifiche volontarie. Anche il referente CSIRT può avere un sostituto. Nominare per tempo queste figure, con competenze adeguate e recapiti aggiornati, evita di doverle improvvisare nel momento peggiore, cioè quando un incidente è già in corso e il tempo per notificare è contato in ore.

Le misure di sicurezza da adottare e in che ordine

Il cuore degli obblighi sostanziali è l’adozione delle misure di sicurezza di base, definite dalla determinazione ACN 379907 del 19 dicembre 2025, applicabile dal 15 gennaio 2026, che ha aggiornato la precedente determinazione 164179 del 14 aprile 2025. I soggetti importanti adottano le 37 misure dell’allegato 1, articolate in 87 requisiti, mentre i soggetti essenziali adottano le 43 misure dell’allegato 2, più estese, articolate in 116 requisiti.

Il termine per adottarle dipende dall’anno di ingresso nel perimetro. Per i soggetti inseriti nell’elenco nel corso del 2025 il termine è di diciotto mesi dalla ricezione della comunicazione di inserimento. Per i soggetti inseriti per la prima volta nel 2026 il termine è fissato al 31 luglio 2027. Chi appartiene alla prima tornata di comunicazioni ha quindi la scadenza più vicina e non ha margine per rinviare.

Sull’ordine con cui procedere, la struttura stessa delle misure suggerisce una sequenza. Ogni misura ha un codice e una descrizione che rimandano alle sottocategorie del Framework Nazionale, oltre a uno o più requisiti che specificano cosa fare. Conviene partire dalla valutazione del rischio, perché è la base su cui si calibra tutto il resto. Da lì si passa alle politiche e alle procedure organizzative, alle misure tecniche come il controllo degli accessi, la cifratura e l’autenticazione a più fattori, e infine alla sicurezza della catena di approvvigionamento e alla documentazione probatoria. Le evidenze da produrre sono di sei tipi, elenchi, inventari, piani, politiche, procedure e registri, e vanno tenute aggiornate rispetto allo stato di fatto. Il metodo per condurre questa ricognizione partendo da una gap analysis è il tema dedicato di un approfondimento a parte.

La notifica degli incidenti in pratica

L’obbligo che spaventa di più è la notifica degli incidenti significativi, perché si attiva all’improvviso e con tempi rigidi. Il primo passo è sapere cosa va notificato. ACN ha definito quattro fattispecie oggettive di incidente significativo, tre valide per tutti i soggetti e una ulteriore per i soli essenziali, elencate negli allegati 3 e 4 della determinazione 379907/2025. Le prime due riguardano le violazioni di riservatezza e di integrità dei servizi, la terza la disponibilità, la quarta l’accesso non autorizzato o l’abuso dei privilegi. La causa non conta, quindi rientra nell’obbligo anche l’incidente dovuto a un evento naturale, a un guasto o a un errore umano, non solo l’attacco doloso.

Quando uno di questi eventi si verifica, il conto alla rovescia è a due tempi. Il soggetto trasmette al CSIRT Italia una pre-notifica senza ingiustificato ritardo e comunque non oltre 24 ore da quando è venuto a conoscenza dell’incidente. La pre-notifica contiene gli elementi di base che servono al CSIRT per inquadrare l’accaduto. A seguire, sempre senza ingiustificato ritardo e comunque non oltre 72 ore, il soggetto invia la notifica completa, con gli ulteriori elementi raccolti nel frattempo. L’impianto generale del decreto, all’articolo 25, prevede poi una relazione finale a chiusura del ciclo. Il canale è la piattaforma di notifica dedicata gestita da ACN, e chi materialmente trasmette è il referente CSIRT nominato in precedenza.

Conviene distinguere l’obbligo dalla facoltà. La notifica delle quattro fattispecie è obbligatoria, ma il soggetto può segnalare al CSIRT Italia anche su base volontaria incidenti non significativi, quasi incidenti e minacce informatiche. È una possibilità da sfruttare, perché una segnalazione volontaria costa poco e alimenta il quadro di situazione che l’Autorità restituisce poi alla collettività dei soggetti NIS.

Anche l’obbligo di notifica ha una decorrenza legata all’anno di ingresso. Per i soggetti inseriti nell’elenco nel 2025 il termine parte nove mesi dopo la ricezione della comunicazione di inserimento, mentre per quelli inseriti per la prima volta nel 2026 decorre dal 1° gennaio 2027. Un ultimo punto pratico riguarda le forniture, perché l’obbligo di notifica resta in capo al soggetto NIS cliente anche quando l’incidente colpisce sistemi gestiti da un fornitore, che va quindi vincolato per contratto a segnalare tempestivamente gli eventi di sicurezza.

Come organizzare il lavoro nei mesi successivi

Messi a fuoco gli obblighi, il rischio è affrontarli come pratiche separate invece che come un programma unico. Conviene formalizzare la governance del progetto con un atto degli organi di amministrazione, coerente con la loro responsabilità diretta, così che le decisioni su budget e priorità abbiano una copertura formale. Il punto di contatto e il referente CSIRT vanno nominati subito, non alla vigilia della prima scadenza.

Da lì il lavoro si regge su uno scadenzario che tiene insieme le due date che contano, il termine per le misure e quello per la notifica, entrambe ancorate alla comunicazione di inserimento. Attorno a queste si costruiscono le attività ricorrenti, che a differenza dei termini una tantum tornano ogni anno. La registrazione e il suo eventuale aggiornamento si svolgono fra il 1° gennaio e il 28 febbraio, mentre l’aggiornamento annuale delle informazioni comunicate all’Autorità va effettuato fra il 15 aprile e il 31 maggio. A queste finestre fisse si aggiungono il riesame periodico delle politiche e la manutenzione delle evidenze documentali. Un soggetto che tratta la NIS2 come uno scadenzario vivo, e non come un adempimento una tantum, arriva alle scadenze senza corse dell’ultimo minuto e con le prove pronte in caso di verifica.