Registrazione sul portale ACN per la NIS2: chi, quando e come

Le finestre dell'anno, l'accesso con SPID o CIE, i ruoli da designare e i dati da preparare prima di entrare nel Portale dei Servizi ACN.

In breve

Se la tua organizzazione rientra nella NIS2, devi registrarti, o aggiornare la registrazione, sulla piattaforma digitale dell'ACN dal 1° gennaio al 28 febbraio di ogni anno (art. 7, comma 1, D.Lgs. 138/2024). Lo fa il punto di contatto, che accede al Portale dei Servizi ACN con SPID, CIE o credenziali rilasciate dall'ACN. Se vieni inserito nell'elenco dei soggetti NIS, dal 15 aprile al 31 maggio fai anche l'aggiornamento annuale delle informazioni.

La prossima finestra di registrazione si apre il 1° gennaio 2027. Qui trovi il calendario dell'anno, i ruoli e l'elenco dei dati da preparare.

Chi deve registrarsi

Devono registrarsi le organizzazioni pubbliche o private che si riconoscono in una delle tipologie di soggetto degli allegati I e II del decreto e che, dove richiesto, superano le soglie dimensionali dell'articolo 3 (FAQ REG.1). In pratica, per la maggior parte dei settori devi essere almeno una media impresa. Alcune tipologie rientrano però a prescindere dalla dimensione, e contano anche le imprese collegate.

Alcuni punti da sapere:

Si registra la singola società, non il gruppo: ogni persona giuridica ha il suo obbligo, anche se fa parte dello stesso gruppo (FAQ REG.8).
Nel dubbio, è opportuno registrarsi, anche se l'attività è svolta in forma residuale, con alcune eccezioni per acqua potabile, acque reflue e rifiuti (FAQ REG.1).
Sei soggetto NIS anche senza registrarti: gli obblighi derivano dal decreto, non dalla registrazione (FAQ REG.3).

Se non sai ancora se rientri, parti dalla guida NIS2 o dal self-assessment in fondo alla pagina.

Il calendario dell'anno

1° gennaio – 28 febbraio: registrazione o aggiornamento della registrazione (art. 7, comma 1).
Entro il 31 marzo: l'ACN redige l'elenco dei soggetti essenziali e importanti (art. 7, comma 2).
Aprile: l'ACN comunica al domicilio digitale di ogni registrato se è stato inserito nell'elenco, se vi resta o se ne esce (FAQ REG.3).
15 aprile – 31 maggio: aggiornamento annuale delle informazioni, compreso l'elenco dei fornitori rilevanti (art. 7, comma 4; FAQ AGA).
1° maggio – 30 giugno: comunicazione dell'elenco categorizzato delle attività e dei servizi (art. 30 del decreto, modello della Det. ACN 155238/2026, FAQ «Categorizzazione»).
Tutto l'anno: ogni modifica ai dati già comunicati va notificata tempestivamente, e comunque entro 14 giorni (art. 7, comma 7; FAQ AGA.1).

Le scadenze per adottare le misure di sicurezza e per notificare gli incidenti decorrono dalla comunicazione di inserimento nell'elenco. Le trovi nelle guide sulle misure di base e sulla scadenza di ottobre 2026.

I ruoli sul portale

Le regole sui ruoli sono nelle FAQ «Ruoli e procedure». Le modalità della piattaforma sono oggi fissate dalla Determinazione ACN 127437/2026, che ha sostituito la 379887/2025. Alcune FAQ citano ancora gli articoli della determinazione precedente.

Punto di contatto: può essere il rappresentante legale, un suo procuratore generale iscritto nel registro delle imprese oppure un dipendente delegato. Cura l'attuazione degli adempimenti e parla con l'ACN, ma la responsabilità delle violazioni resta agli organi di amministrazione (FAQ PDC.3). Non si può affidare a un esterno, ma può farsi aiutare da consulenti.
Sostituto del punto di contatto: designato con le stesse modalità e invitato dal punto di contatto sul portale. Può compiere sul portale le stesse azioni del punto di contatto (FAQ PDC.4). Anche questo ruolo non si può affidare a un esterno.
Segreteria: facoltativa, può vedere e aggiornare i dati ma non trasmettere. Se non la nomini, devi dichiararlo in modo esplicito (FAQ RR.1).
Operatori: facoltativi, con gli stessi limiti della segreteria (FAQ RR.2).
Referente CSIRT: la persona che gestisce i rapporti con lo CSIRT Italia sugli incidenti. Può essere anche un esterno, per esempio chi ti gestisce il SOC. Lo designa il punto di contatto sul portale. Secondo la Det. 127434/2026, chi è entrato nell'elenco nel 2026 deve designarlo entro la fine del 2026.

Come si accede

Il servizio si trova sul Portale dei Servizi ACN. Ci si autentica con SPID o CIE (FAQ PDC.5). Chi per legge non può avere né SPID né CIE può chiedere all'ACN credenziali personali con un modulo firmato digitalmente e un documento d'identità (FAQ ACC.1). La richiesta passa dal Service Desk; se riguarda il punto di contatto, va inviata via PEC.

Le tre fasi della registrazione

La FAQ REG.5 divide la registrazione in tre fasi.

Censimento del punto di contatto. Nome e cognome, luogo e data di nascita, codice fiscale, cittadinanza, residenza, email, PEC se disponibile, telefono.
Associazione al soggetto. Serve il codice fiscale dell'organizzazione. Se il punto di contatto non è il rappresentante legale né un procuratore generale, devi caricare la delega. L'associazione va convalidata dall'organizzazione con la procedura che arriva al suo domicilio digitale (FAQ PDC.5).
Dichiarazione. Codici ATECO delle attività, normative europee di settore che si applicano, numero di dipendenti, fatturato e bilancio, tipologie di soggetto degli allegati I–IV, autovalutazione come essenziale, importante o fuori ambito.

Se hai imprese collegate o associate, o fai parte di un gruppo, servono dati in più: capogruppo, imprese collegate e dimensioni calcolate secondo la Raccomandazione 2003/361/CE (FAQ REG.7).

Cosa preparare prima

La delega firmata dal rappresentante legale, se il punto di contatto è un dipendente (l'ACN pubblica un modello suggerito).
Il domicilio digitale (PEC) dell'azienda, controllato: arrivano lì la convalida e la comunicazione di inserimento.
Dipendenti, fatturato e bilancio, consolidati dove serve con le imprese collegate.
I codici ATECO e l'elenco dei servizi che ti fanno rientrare nel perimetro.
Per l'aggiornamento di aprile e maggio: sostituto del punto di contatto, componenti degli organi di amministrazione e direttivi, indirizzi IP pubblici statici e nomi di dominio, eventuali accordi di condivisione delle informazioni e fornitori rilevanti (FAQ AGA.2).

Se sei in ritardo

Chi non si è registrato entro il 28 febbraio 2025 ha potuto farlo con la «registrazione tardiva», riattivata dall'ACN dal 14 aprile 2025 (FAQ RET.1). Non aspettare comunque la finestra successiva: la mancata o tardiva registrazione è una violazione. In questi casi l'articolo 38, comma 13 prevede che si contestino tutte le violazioni dei commi 8 e 10 e si applichi la sanzione per la più grave, aumentata fino al triplo. Vedi le sanzioni NIS2.

Dove può aiutarti Epic Assess

Epic Assess raccoglie in un solo posto i dati che ti servono per la piattaforma ACN: punto di contatto e sostituto, responsabili dell'articolo 38, domini e IP, Stati membri, fornitori. Ti ricorda le finestre annuali nello scadenzario. La compilazione sul portale resta a te: Epic Assess non si collega alla piattaforma ACN.

Fonti

Torna alle risorse