- Significato
- Iscrizione dei soggetti sottoposti alla NIS2
- Dove
- Piattaforma ACN
- Finestra
- Dal 1° gennaio al 28 febbraio di ogni anno
- Rapporto con la NIS2
- Obbligo di legge specifico
- Aggiornamento
- giugno 2026
- Redazione
- Compliance Compass
Che cos’è la registrazione presso l’ACN?
In base alla NIS2 i soggetti interessati devono rivolgersi all’autorità nazionale di cibersicurezza ACN e registrarsi. In questo modo l’autorità sa chi è sottoposto agli obblighi e chi, in caso di emergenza, trasmette le notifiche. A differenza della Piattaforma ACN (lo strumento tecnico), la registrazione indica il preciso adempimento giuridico dell’iscrizione. Importante: la qualificazione come soggetto essenziale o soggetto importante avviene di regola per autoidentificazione — le imprese devono cioè verificare da sé se rientrano nella NIS2 e provvedere autonomamente all’iscrizione.
Quali dati servono
- Dati anagrafici e recapiti del soggetto
- Settore e qualificazione come soggetto essenziale o soggetto importante
- Punti di contatto per le notifiche, preferibilmente raggiungibili 24 ore su 24
Finestra e procedura
L’obbligo di registrazione discende dal decreto NIS, in vigore dal 16 ottobre 2024. L’iscrizione si effettua all’interno di una finestra annuale, aperta dal 1° gennaio al 28 febbraio di ogni anno e chi rientra nell’ambito di applicazione deve iscriversi in quel periodo. Dopo l’iscrizione, ogni variazione dei dati va comunicata entro 14 giorni. La procedura si svolge sulla piattaforma ACN; le modalità operative di dettaglio sono fissate dalle determinazioni che l’Agenzia adotta di anno in anno, non dal decreto NIS.
La registrazione è solo l’inizio
Con l’iscrizione gli obblighi non sono adempiuti: essa è soltanto l’ingresso formale. Seguono la gestione del rischio, le misure tecniche e organizzative e il rispetto degli obblighi di notifica. Chi omette l’iscrizione rischia sanzioni: l’articolo 34 della direttiva fissa massimali minimi, fino a 10.000.000 di euro o il 2 % del fatturato annuo mondiale per i soggetti essenziali e fino a 7.000.000 di euro o l’1,4 % per i soggetti importanti.
Un caso concreto
Un caso tipico: un produttore di componenti industriali non è certo di rientrare nell’ambito di applicazione. Dopo aver verificato settori e soglie dimensionali conclude di qualificarsi come soggetto importante. Provvede quindi a iscriversi sulla piattaforma ACN entro la finestra annuale, indica un punto di contatto per le notifiche e avvia in parallelo la costruzione della propria gestione del rischio, limitando così il rischio di sanzioni.
Domande frequenti
Che cos’è l’obbligo di registrazione?
L’obbligo di registrazione è l’iscrizione, prevista dal decreto NIS, dei soggetti sottoposti alla NIS2 sulla piattaforma dell’Agenzia per la Cybersicurezza Nazionale. Con l’iscrizione l’ACN apprende quale soggetto è sottoposto agli obblighi, a quale settore appartiene e attraverso quale punto di contatto verranno trasmesse le notifiche di incidente. La qualificazione come soggetto essenziale o soggetto importante avviene di regola per autoidentificazione.
Entro quando ci si deve registrare presso l’ACN?
La registrazione si effettua all’interno di una finestra annuale, aperta dal 1° gennaio al 28 febbraio di ogni anno; dopo l’iscrizione, ogni variazione dei dati va comunicata entro 14 giorni. Le modalità operative di dettaglio non sono fissate dal decreto NIS, ma dalle determinazioni che l’ACN adotta di anno in anno: conviene quindi verificarle sul portale dell’Agenzia. Chi omette l’iscrizione rischia sanzioni fino a 10.000.000 di euro o al 2 % del fatturato annuo mondiale nel caso dei soggetti essenziali.
La registrazione da sola è sufficiente?
No: l’iscrizione presso l’ACN è soltanto l’ingresso formale nella conformità NIS2 e non esaurisce gli obblighi. Seguono i compiti veri e propri: una gestione del rischio adeguata, misure di sicurezza tecniche e organizzative e il rispetto della catena scaglionata delle notifiche in caso di incidente, con pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese. Le misure di base vanno attuate entro 18 mesi dalla comunicazione dell’Agenzia.
Per approfondire: ACN – I soggetti NIS