NIS2: piattaforma per la registrazione dei soggetti sul sito di ACN

Piattaforma per la registrazione dei soggetti rientranti negli obblighi della NIS2 disponibile dal 1° dicembre sul sito dell’Agenzia per la Cybersicurezza Nazionale.

È attiva sul sito dell’Agenzia per la Cybersicurezza Nazionale (ACN), a partire dal 1° dicembre 2024 sino al 28 febbraio 2025, la nuova piattaforma dedicata alla registrazione delle imprese private e delle pubbliche amministrazioni soggette agli obblighi di cybersicurezza previsti dalla direttiva NIS2.

Secondo le stime, saranno circa 50.000 gli enti pubblici e privati coinvolti in questo passaggio fondamentale per il futuro della sicurezza cibernetica nazionale ed europea.

La registrazione

La registrazione, prevista dall’art. 7 d.lgs. 138/2024, è il primo passo obbligatorio per tutti i soggetti che rientrano nell’ambito di applicazione della normativa, individuati dall’Art. 3 del predetto Decreto. Le informazioni circa le modalità, i termini ed il procedimento da seguire sono definiti dalla Determinazione ACN 38565/2024.

In via preliminare, ciascun Ente dovrà autonomamente effettuare una valutazione al fine di verificare se rientra nell’ambito applicativo della norma, mediante la consultazione della tabella presente sulla piattaforma, che elenca di una tabella sul sito web che elenca tutte le categorie di soggetti obbligati, suddivisi per settore e ambito di attività, corrispondente agli allegati I, II, III e IV del decreto in parola. Resta ferma la possibilità per l’Autorità nazionale competente NIS di poter individuare – su specifica indicazione delle relative Autorità di settore – ulteriori soggetti critici e richiederne la registrazione all’interno della piattaforma digitale, entro il medesimo termine.

L’Iter

In sintesi, l’iter si articola in 3 momenti fondamentali, che richiedono una partecipazione attenta e attiva dell’Organizzazione:

• Censimento del punto di contatto: (ex art. 7, comma 1, lett. c), decreto NIS 2), cioè la designazione di un soggetto all’interno dell’ente, individuato prima di effettuare la registrazione, con il compito di curare l’attuazione delle disposizioni del decreto NIS 2 (rappresentante legale, procuratore generale, dipendente delegato). Tale attività deve esser svolta previa autenticazione, mediante le credenziali SPID del soggetto designato, all’interno del portale ACN e contestuale inserimento delle informazioni all’interno dell’anagrafica;
• Associazione del punto di contatto all’Ente: il soggetto previamente censito come punto di contatto procede, sempre all’interno del portale ACN, all’associazione della propria utenza con il soggetto NIS che lo ha designato, mediante:
  • Indicazione del codice fiscale dell’azienda o del codice IPA (per le pubbliche amministrazioni e i gestori di pubblico servizio);
  • Indicazione del titolo giuridico che legittima il suo ruolo (la rappresentanza legale, la procura, la delega);
  • la verifica dei dati del soggetto NIS (denominazione, indirizzo, domicilio digitale e recapiti della sede legale);
• Compilazione della dichiarazione NIS 2: l’utente designato quale punto di contatto accede al Servizio NIS/Registrazione e compila la dichiarazione di registrazione, inserendo le informazioni richieste all’interno di ciascuna sezione del modello di dichiarazione (contesto, caratterizzazione, tipologie di soggetto, autovalutazione).

Decorso il termine di registrazione, l’ACN e le Autorità di settore vaglieranno le richieste verificando l’elenco dei soggetti registrati e, nel corso del mese di aprile 2025, procederanno a notificare al punto di contatto designato la conferma dell’inserimento o meno nell’elenco dei soggetti NIS, comunicando un codice identificativo univoco.

Conclusioni

La registrazione alla piattaforma, dunque, costituisce il primo obbligo di rilievo per i soggetti rientranti nell’ambito applicativo della Direttiva, fondamentale al fine di consentire all’Autorità NIS di condurre le operazioni di verifica, vigilanza e supporto; la mancata registrazione costituisce una violazione della normativa ed è punita con una sanzione amministrativa fino allo 0.1% del fatturato annuo su scala mondiale del soggetto.

A seguito dell’inclusione nell’elenco dei soggetti NIS, occorrerà procedere all’adeguamento rispetto agli obblighi imposti dalla norma e assumeranno rilevanza gli ulteriori termini cruciali, così individuati:

• gennaio 2026, termine ultimo per la notifica degli incidenti informatici;
• ottobre 2026, termine ultimo per l’implementazione concreta delle misure in materia di gestione dei rischi sicurezza informatica.