Cyber Security, NIS 2 – Nuovo provvedimento dell'ACN di definizione del quadro normativo e degli obblighi delle imprese

L’ACN, nei giorni scorsi, ha pubblicato una nuova determinazione (Determinazione ACN 0283727 allegata) che aggiorna la precedente n. 136117. Il provvedimento disciplina termini, modalità e procedimenti per l’accesso e l’uso della piattaforma digitale ACN, oltre a regolare la designazione dei rappresentanti NIS e le comunicazioni ufficiali tra i soggetti obbligati e l’Autorità nazionale competente.

Con la chiusura, lo scorso 31 luglio 2025, della finestra per l’aggiornamento annuale delle informazioni, si è reso necessario intervenire per fissare in via definitiva il quadro normativo previsto dalla direttiva NIS 2, senza ulteriori proroghe, e chiarire gli obblighi a carico delle imprese.

La nuova determinazione non introduce modifiche sostanziali ma chiarisce le ricadute operative sui soggetti rientranti nel perimetro NIS, anche in relazione a quanto stabilito nel provvedimento precedente.

A partire dal 31 luglio 2025, il Portale ACN diventa l’unico canale ufficiale di comunicazione con l’Autorità nazionale competente. Ogni interlocuzione – inclusi la registrazione iniziale, l’aggiornamento annuale, l’aggiornamento continuo e ogni altra comunicazione formale – dovrà avvenire esclusivamente attraverso la piattaforma. Qualsiasi invio effettuato via PEC o altri canali non sarà considerato valido, salvo esplicita autorizzazione dell’Autorità.

Il sistema si basa su tempistiche rigide e non più derogabili:

- la registrazione iniziale è possibile esclusivamente tra il 1° gennaio e il 28 febbraio di ogni anno;

- l’aggiornamento annuale, invece, deve essere effettuato tra il 15 aprile e il 31 maggio. Tale aggiornamento ha la funzione di revisione periodica complessiva e richiede all’organizzazione di convalidare l’intero insieme di dati anagrafici e operativi;

- l’aggiornamento continuo, che si affianca al precedente e deve essere effettuato entro 14 giorni da ogni variazione rilevante e comunque non oltre il 14 aprile dell’anno successivo. Questo aggiornamento assicura la tempestiva comunicazione di cambiamenti significativi – come quelli relativi a governance, contatti, domini o riferimenti giuridici – mantenendo un allineamento tra il soggetto e l’Autorità.

In questo sistema, un ruolo centrale è ricoperto dal punto di contatto, persona fisica designata attraverso SPID, che può appartenere all’organizzazione stessa oppure, in casi specifici, essere un dipendente di un’altra società del gruppo. A partire dal 2025, la nomina del sostituto punto di contatto è obbligatoria e deve avvenire entro il 31 maggio dell’anno di inserimento nell’elenco NIS. Inoltre, i componenti degli organi amministrativi devono essere indicati con codice fiscale e PEC e accettare espressamente la propria designazione tramite il Portale ACN.

Le informazioni trasmesse sono inoltre soggette a verifiche di coerenza. I controlli a campione possono avvenire entro 30 giorni dalla presentazione e possono essere prorogati di ulteriori 20 giorni. Le imprese che ritengano gli obblighi eccessivamente gravosi possono fare ricorso alla clausola di salvaguardia, la cui attivazione e valutazione sarà regolata da un futuro DPCM.

Infine, per i soggetti extra-UE che operano sul territorio italiano, la documentazione relativa alla designazione del rappresentante NIS UE deve essere trasmessa tra il 1° settembre e il 30 novembre. Tale rappresentante può anche essere delegato a ricoprire il ruolo di punto di contatto